.NET Core 2.0 Identity与Cookie认证如何正确设置会话超时？

嘿，我之前帮不少开发者解决过这个问题——你只设置了ExpireTimeSpan但会话还是很快失效，大概率是漏掉了几个关键配置项，尤其是滑动过期和Cookie持久化的设置，让我一步步给你捋清楚怎么搞定：

1. 必须开启滑动过期（SlidingExpiration） #

滑动过期的核心作用是：只要用户在会话过期前有活跃操作，就会自动延长Cookie的有效期。默认情况下这个选项可能没开启，你需要在Identity的Cookie配置里明确设置：

services.AddIdentity<User, Role>(options =>
{
    // 其他Identity相关配置（比如密码规则等）...
    options.Cookies.ApplicationCookie.ExpireTimeSpan = TimeSpan.FromDays(150);
    options.Cookies.ApplicationCookie.SlidingExpiration = true; // 关键：打开滑动过期开关
})
.AddEntityFrameworkStores<YourDbContext>()
.AddDefaultTokenProviders();

2. 配置Cookie持久化（IsPersistent） #

如果希望用户关闭浏览器后再次打开仍保持登录状态，还需要确保登录时设置了持久化Cookie。在你的登录方法里，要把IsPersistent参数设为true（通常和“记住我”勾选框绑定）：

var result = await _signInManager.PasswordSignInAsync(
    model.Email, 
    model.Password, 
    model.RememberMe, // 视图里的"记住我"勾选框值
    lockoutOnFailure: false
);
if (result.Succeeded)
{
    // 登录成功后的逻辑
}

如果想强制所有登录都持久化，直接把第三个参数传true即可。

3. 检查Session配置（如果有用到） #

如果你的应用同时启用了Session，要确保Session的超时时间不短于Cookie的过期时间，否则Session先失效会导致认证状态异常：

services.AddSession(options =>
{
    options.IdleTimeout = TimeSpan.FromDays(150); // 和Cookie过期时间保持一致
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true;
});

4. 验证中间件顺序是否正确 #

ASP.NET Core的中间件顺序很关键，UseAuthentication必须放在UseMvc之前，否则认证逻辑不会生效：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 其他中间件（比如错误处理、静态文件）...
    app.UseAuthentication(); // 一定要在UseMvc之前
    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

5. 针对ASP.NET Core 2.0的精细配置方案 #

如果上面的配置还是没生效，可以单独通过ConfigureApplicationCookie来更细致地控制Cookie属性：

services.AddIdentity<User, Role>()
.AddEntityFrameworkStores<YourDbContext>()
.AddDefaultTokenProviders();

// 单独配置Application Cookie
services.ConfigureApplicationCookie(options =>
{
    options.ExpireTimeSpan = TimeSpan.FromDays(150);
    options.SlidingExpiration = true;
    // 配置登录、登出、无权限跳转路径
    options.LoginPath = "/Account/Login";
    options.LogoutPath = "/Account/Logout";
    options.AccessDeniedPath = "/Account/AccessDenied";
    // 设定Cookie本身的持久化属性
    options.Cookie = new CookieBuilder
    {
        IsEssential = true,
        HttpOnly = true,
        Expiration = TimeSpan.FromDays(150) // 确保Cookie自身的过期时间正确
    };
});

配置完成后，你可以打开浏览器开发者工具，查看Cookie的Expires/Max-Age属性，确认是否已经设置为150天后的时间。只要用户有活跃操作，Cookie就会自动刷新有效期，实现150天无需重新登录的效果。

内容的提问来源于stack exchange，提问作者alesvi