.NET 6.0下如何避免HttpContext User合并多Cookie身份验证的声明（Claims）

这个问题确实挺棘手的——我之前也碰到过类似的场景，ASP.NET Core默认的认证逻辑会把所有验证通过的身份都合并到HttpContext.User里，很容易出现你说的这种跨账号权限泄露的风险。你当前用登出所有方案的临时 workaround 虽然能解决，但确实不够稳妥，这里有几个更可靠的解决思路：

1. 明确指定每个请求要使用的认证方案 #

默认情况下，ASP.NET Core会尝试所有注册的认证方案，只要验证通过就会把身份加入HttpContext.User。你可以通过[Authorize]特性的AuthenticationSchemes参数，明确指定当前控制器/Action只接受某一种认证方案的身份，这样其他方案的Cookie就算存在，也不会被解析合并。

示例代码：

// 管理员后台只接受凭据登录的方案
[Authorize(AuthenticationSchemes = "CredentialsScheme")]
public class AdminPanelController : ControllerBase
{
    // 这里的HttpContext.User只会包含CredentialsScheme的声明
    public IActionResult AdminDashboard()
    {
        // ...
    }
}

// 受限任务页面只接受Token登录的方案
[Authorize(AuthenticationSchemes = "TokenScheme")]
public IActionResult CompleteRestrictedAction()
{
    // 这里的HttpContext.User只会包含TokenScheme的声明
    // ...
}

如果是全局路由区分的场景，也可以在路由配置时指定认证方案：

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllerRoute(
        name: "admin",
        pattern: "admin/{action=Index}",
        defaults: new { controller = "AdminPanel" },
        metadata: new[] { new AuthorizeAttribute { AuthenticationSchemes = "CredentialsScheme" } }
    );

    endpoints.MapControllerRoute(
        name: "token-only",
        pattern: "restricted/{action=Complete}",
        defaults: new { controller = "RestrictedTasks" },
        metadata: new[] { new AuthorizeAttribute { AuthenticationSchemes = "TokenScheme" } }
    );
});

2. 自定义Cookie认证事件，强制只保留当前方案的身份 #

如果你的场景无法通过路由/Action区分认证方案，可以在每个Cookie认证的配置中，通过OnValidatePrincipal事件拦截身份验证过程，手动清除其他方案的身份，确保HttpContext.User只包含当前方案的声明。

示例代码：

services.AddAuthentication()
    // 凭据登录的Cookie方案配置
    .AddCookie("CredentialsScheme", options =>
    {
        options.Events = new CookieAuthenticationEvents
        {
            OnValidatePrincipal = context =>
            {
                // 只保留当前方案的身份标识，移除其他所有身份
                var currentIdentity = context.Principal.Identities
                    .FirstOrDefault(i => i.AuthenticationType == "CredentialsScheme");
                if (currentIdentity != null)
                {
                    context.Principal = new ClaimsPrincipal(currentIdentity);
                }
                return Task.CompletedTask;
            }
        };
        // 其他配置...
    })
    // Token登录的Cookie方案配置
    .AddCookie("TokenScheme", options =>
    {
        options.Events = new CookieAuthenticationEvents
        {
            OnValidatePrincipal = context =>
            {
                var currentIdentity = context.Principal.Identities
                    .FirstOrDefault(i => i.AuthenticationType == "TokenScheme");
                if (currentIdentity != null)
                {
                    context.Principal = new ClaimsPrincipal(currentIdentity);
                }
                return Task.CompletedTask;
            }
        };
        // 其他配置...
    });

3. 登录时主动清除其他方案的Cookie（优化你的临时方案） #

你当前用的登出所有方案的思路是对的，但可以更精准——不用登出所有，只针对非当前登录方案的Cookie进行清除，这样逻辑更清晰，也避免误操作。

示例代码：

public async Task<IActionResult> LoginWithCredentials(CredentialsLoginModel model)
{
    // 验证用户凭据逻辑...
    var userClaims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, model.UserId),
        new Claim(ClaimTypes.Role, "Admin") // 假设是账号A的管理员权限
    };
    var identity = new ClaimsIdentity(userClaims, "CredentialsScheme");
    var principal = new ClaimsPrincipal(identity);

    // 主动清除Token登录方案的Cookie
    await HttpContext.SignOutAsync("TokenScheme");

    // 登录当前方案
    await HttpContext.SignInAsync("CredentialsScheme", principal);
    return RedirectToAction("AdminDashboard");
}

public async Task<IActionResult> LoginWithToken(string token)
{
    // 验证Token逻辑...
    var tokenClaims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, tokenUserId),
        new Claim(ClaimTypes.Role, "RestrictedUser") // 假设是账号B的受限权限
    };
    var identity = new ClaimsIdentity(tokenClaims, "TokenScheme");
    var principal = new ClaimsPrincipal(identity);

    // 主动清除凭据登录方案的Cookie
    await HttpContext.SignOutAsync("CredentialsScheme");

    // 登录当前方案
    await HttpContext.SignInAsync("TokenScheme", principal);
    return RedirectToAction("CompleteRestrictedAction");
}

为什么会出现声明合并的问题？ #

简单来说，ASP.NET Core的认证系统默认是累加式验证：它会遍历所有注册的认证方案，逐个尝试验证请求中的凭证（比如Cookie），只要某个方案验证通过，就会把对应的身份添加到HttpContext.User的身份集合中。所以当浏览器同时发送多个有效Cookie时，多个身份的声明就会被合并到一起，导致权限混乱。

备注：内容来源于stack exchange，提问作者Lewie Lewis