ASP.NET登录控件认证失败：用户名被替换为'hsilver'问题排查求助

咱们来一步步拆解你遇到的这个棘手问题：用有效凭据登录却触发“无法验证用户身份”，用户名还被自动换成了hsilver，清浏览器Cookie/缓存就恢复正常，同时IIS日志里还出现了Event code: 4005 Event message: Forms authentication failed for the request. Reason: The ticket supplied has expired.的报错。结合你的AWS ELB+EC2+F5+Route53架构，我整理了几个核心排查方向：

1. 过期认证票据的 fallback 逻辑是关键 #

Forms认证票据过期后，ASP.NET会自动处理未授权请求，但如果你的应用里藏着默认用户/ fallback 逻辑（比如旧测试代码、第三方认证组件的默认配置），就可能在票据验证失败时自动填充一个预设用户名——hsilver大概率是某个测试账户或者硬编码的默认值。

• 先检查web.config里的Forms认证配置：

  <authentication mode="Forms">
    <forms loginUrl="~/Account/Login" timeout="2880" name=".ASPXAUTH" protection="All" path="/" />
  </authentication>
  

  重点看timeout设置，再去查全局事件（比如Global.asax.cs里的Application_AuthenticateRequest、Application_Error），有没有在票据验证失败时手动设置默认身份的代码。

2. 负载均衡的会话粘性配置出问题了 #

你的架构里有ELB和F5两层代理，会话粘性（Sticky Sessions）如果配置不对，用户请求可能被随机路由到不同的EC2实例：

• 要是某个实例上残留了hsilver的旧会话（比如测试时留下的），当用户的过期票据被转发到这个实例时，就会错误关联到这个旧用户。
• 赶紧检查ELB目标组的会话粘性设置，还有F5的会话持久化规则，确保用户在同一个会话周期内请求都路由到同一个EC2实例。

3. 代理/跨域导致的Cookie冲突 #

F5和ELB作为反向代理，可能会篡改Cookie属性，或者存在跨域Cookie冲突：

• 打开浏览器开发者工具，查看.ASPXAUTH Cookie，看看是不是有多个同名Cookie（比如不同域名、路径下的）——旧的过期Cookie没被清掉，被代理转发到应用后，就会打乱认证逻辑，触发默认用户名填充。
• 确认web.config里的Forms认证Cookie的domain属性是否匹配你的路由域名，避免跨域Cookie混乱：

  <forms domain="your-production-domain.com" ... />
  

4. 隐藏的第三方组件/自定义认证逻辑 #

你说登录控件没写设置用户名的代码，但别忘了第三方组件或者全局逻辑可能偷偷做了操作：

• 检查你引用的第三方认证库（比如OIDC、ADFS相关组件），看看它们在认证失败时有没有默认 fallback 到测试账户的配置。
• 搜索整个代码库（包括反编译Nuget包代码）里的hsilver字符串，说不定哪里藏着硬编码的默认用户。
• 查看应用级别的日志（不止IIS日志），追踪认证失败前后的日志条目，看看hsilver第一次出现的场景。

5. 代理端的缓存残留问题 #

用户清Cookie就好，说明问题和缓存脱不了干系：

• 检查F5是否开启了请求/响应缓存，有没有缓存了包含旧认证票据的响应，用户请求时被返回过期票据，触发认证失败和用户名替换。
• 确认浏览器Cookie的有效期设置，看看是不是旧Cookie没有被正确标记为过期，一直留在客户端。

快速验证小步骤 #

• 临时关闭ELB的会话粘性，测试是否还会出现hsilver替换问题——如果消失，基本就是实例残留会话导致的。
• 在web.config里把Forms认证的timeout临时改成1分钟，主动触发票据过期，同时抓包查看请求里的Cookie内容，看看是不是有旧票据在捣乱。
• 找一台测试机，手动构造一个过期的.ASPXAUTH Cookie，模拟请求，观察是否会触发hsilver的替换，缩小问题范围。

内容的提问来源于stack exchange，提问作者Pritam