如何解决独立Blazor WebAssembly中HttpOnly Cookie刷新令牌传递失败问题

你的核心问题是跨域场景下，Blazor WebAssembly客户端无法将HttpOnly Cookie中的刷新令牌传递到ASP.NET Core Web API，导致refresh接口无法读取到Request.Cookies。以下是针对性的解决步骤：

1. 配置API的CORS策略（关键） #

跨域请求中，浏览器默认不会发送Cookie，必须在API端明确允许凭据传递，且不能使用通配符*作为允许的源：

// Program.cs 中配置CORS
builder.Services.AddCors(options =>
{
    options.AddPolicy("BlazorClientPolicy", policy =>
    {
        policy.WithOrigins("https://localhost:5001") // 替换为你的Blazor客户端实际地址
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 必须开启，允许携带Cookie等凭据
    });
});

// 注意中间件顺序：CORS必须放在Routing和Authorization之前
app.UseCors("BlazorClientPolicy");
app.UseRouting();
app.UseAuthorization();

2. Blazor WASM客户端配置HttpClient携带凭据 #

Blazor的HttpClient默认不会自动发送Cookie，需要显式配置允许携带凭据：

方式1：全局配置HttpClient #

在Blazor客户端的Program.cs中注册HttpClient时，设置处理程序允许Cookie：

builder.Services.AddScoped(sp => new HttpClient
{
    BaseAddress = new Uri("https://your-api-domain/") // 替换为API地址
})
.ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
{
    UseCookies = true,
    CookieContainer = new CookieContainer(),
    AllowAutoRedirect = true
});

方式2：单个请求中指定凭据 #

调用refresh接口时，显式启用凭据传递：

var request = new HttpRequestMessage(HttpMethod.Post, "auth/refresh");
request.SetBrowserRequestCredentials(BrowserRequestCredentials.Include);

var response = await _httpClient.SendAsync(request);

3. 检查Cookie配置的正确性 #

登录时设置Cookie的CookieOptions需满足跨域要求：

Response.Cookies.Append("refreshToken", plainRefreshToken, new CookieOptions 
{
    HttpOnly = true,
    Secure = true, // 必须配合SameSite=None使用
    SameSite = SameSiteMode.None, // 跨域场景下必须设置为None
    Expires = refreshToken.Expires,
    Path = "/", // 确保Cookie在整个API域内有效
    // 若API和客户端为不同域名，需添加Domain属性（本地localhost不同端口无需设置）
    // Domain = ".your-domain.com"
});

4. 调试验证步骤 #

1. 确认Cookie已存储：登录后，打开浏览器开发者工具→Application→Cookies→API域名，检查refreshToken是否存在（HttpOnly类型的Cookie值不可见，但能看到条目）。
2. 检查请求头：调用refresh接口时，查看Network标签的请求头，确认Cookie字段是否包含refreshToken。若没有，说明浏览器未发送，需检查CORS或客户端配置。
3. 信任自签名证书：本地自签名证书可能被浏览器拦截，导致Cookie无法存储。将证书导入浏览器的「受信任根证书颁发机构」列表。

5. 额外注意事项 #

• 浏览器隐私模式可能阻止第三方Cookie，调试时关闭隐私模式。
• 确保API和客户端的HTTPS配置正确，Secure=true要求请求必须通过HTTPS发送。

内容的提问来源于stack exchange，提问作者jason van willigen