ASP.NET Core 2.0 Cookie授权不持久：设置365天仍失效

嘿，我来帮你搞定这个Cookie持久化的坑！你已经把ExpireTimeSpan设为365天，但关闭浏览器后还是跳登录，大概率是登录时没启用持久化Cookie，或者Authentication的配置有遗漏。下面是几个关键检查点：

1. 确认Authentication的Cookie配置是否完整 #

如果用的是原生Cookie认证，在ConfigureServices里要确保AddCookie的配置正确关联了有效期：

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.ExpireTimeSpan = TimeSpan.FromDays(365);
        options.SlidingExpiration = true; // 可选，每次请求自动刷新Cookie有效期
    });

要是你用了Identity框架（从ApplicationDbContext推测可能是），得用ConfigureApplicationCookie来配置Identity的Cookie选项，而不是直接AddCookie：

services.AddIdentity<IdentityUser, IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddDefaultTokenProviders();

// 配置Identity的Cookie
services.ConfigureApplicationCookie(options =>
{
    options.ExpireTimeSpan = TimeSpan.FromDays(365);
    options.SlidingExpiration = true;
});

2. 登录时必须设置IsPersistent = true #

这是最容易忽略的点！哪怕Cookie有效期设得再长，如果你登录时没指定持久化，Cookie还是会话级的——关闭浏览器就会被清除。在登录Action里，一定要传带IsPersistent的AuthenticationProperties：

await HttpContext.SignInAsync(
    CookieAuthenticationDefaults.AuthenticationScheme,
    new ClaimsPrincipal(identity),
    new AuthenticationProperties
    {
        IsPersistent = true, // 关键！启用持久化Cookie
        ExpiresUtc = DateTimeOffset.UtcNow.AddDays(365) // 和全局有效期保持一致
    });

要是你的登录代码里没传这个参数，或者IsPersistent设为false，那关闭浏览器后Cookie直接失效，自然要重新登录。

3. 检查浏览器的Cookie设置 #

虽然你看到Cookie有效期是365天后，但可以再确认两个细节：

• 如果网站是HTTP协议，Cookie的Secure属性设为true的话，浏览器不会存储它（Secure仅在HTTPS下生效）。ASP.NET Core 2.0里Secure默认是SameAsRequest，本地开发HTTP没问题，但生产环境要注意HTTPS配置。
• 有些浏览器的隐私设置可能默认“关闭浏览器时清除Cookie”，可以临时切换到普通模式测试。

4. 排查是否有其他配置覆盖了Cookie设置 #

比如有没有自定义的中间件、过滤器，或者第三方认证组件，不小心修改了Cookie的有效期或持久化属性。可以暂时注释掉非必要的中间件，逐步排查。

你可以先从第2点开始检查——登录时有没有设置IsPersistent = true，这是90%以上这类问题的根源。如果还不行，再核对Authentication/Identity的配置是否正确。

内容的提问来源于stack exchange，提问作者Ali Besharati