ASP.NET Core 防伪造Cookie缺失问题求助（切换启动配置后）

这个问题我之前帮同事排查过类似的情况，核心原因基本都是启动配置的站点URL不匹配或者Cookie的域/路径配置和当前请求不兼容导致的，咱们一步步来解决：

1. 先检查launchSettings.json的URL配置 #

打开项目根目录下的Properties/launchSettings.json，对比两个启动配置的applicationUrl字段：

• IIS Express默认的URL一般是类似https://localhost:443xx;http://localhost:5000这种固定端口
• 第二个自定义配置的URL可能是另一个端口（比如http://localhost:5001）或者不同的域名

因为浏览器把localhost:5000和localhost:5001视为不同的源，之前在IIS Express下生成的.AspNetCore.Antiforgery.* Cookie不会被发送到新的URL请求中，自然就会报错。

解决办法：
把两个配置的applicationUrl改成完全一致的，或者如果需要保留不同端口，继续往下看其他配置调整方案。

2. 调整防伪造中间件的Cookie配置 #

在Startup.cs的ConfigureServices方法里，修改AddAntiforgery的配置，让Cookie能适配不同的端口/URL：

services.AddAntiforgery(options =>
{
    // 统一Cookie名称，避免不同配置生成不同后缀的Cookie
    options.Cookie.Name = ".AspNetCore.Antiforgery";
    // 允许localhost下的所有端口共享Cookie
    options.Cookie.Domain = "localhost";
    // 放宽SameSite限制，适配跨端口请求
    options.Cookie.SameSite = SameSiteMode.Lax;
});

3. 检查身份验证Cookie的配置 #

同样在Startup.cs里，确保身份验证相关的Cookie配置也适配当前请求：

services.ConfigureApplicationCookie(options =>
{
    // 确保Cookie路径是根路径，不会被限制在某个子路径
    options.Cookie.Path = "/";
    // 不指定固定Domain，让系统自动适配当前请求的域
    options.Cookie.Domain = null;
});

4. 清除浏览器缓存和Cookie #

有时候旧的Cookie残留会干扰新配置的生效，直接打开浏览器的开发者工具（F12），找到「应用」→「Cookie」，删除当前localhost下的所有Cookie，然后重启应用再测试。

为什么IIS Express下正常？ #

因为项目创建时，防伪造中间件和身份验证系统会默认绑定IIS Express的URL生成Cookie，当你切换到另一个URL时，浏览器认为是新的站点，不会携带之前生成的防伪造Cookie，所以就触发了这个错误。

内容的提问来源于stack exchange，提问作者Fipil