.NET 4.6 Owin应用认证后User.Identity.IsAuthenticated仍为false

• 检查应用池配置与权限
  确认IIS应用池的.NET CLR版本设置为v4.0（匹配.NET 4.6），同时检查应用池身份账户是否具备读写网站根目录的权限（Cookie持久化依赖磁盘读写权限）。另外查看应用池是否在问题出现前发生过自动回收，回收可能导致临时认证状态丢失。

• 验证TokenValidationParameters配置
  在Startup.auth.cs的OpenIdConnectAuthenticationOptions中，检查TokenValidationParameters的以下配置：

  • 确认ValidateIssuer、ValidateAudience是否启用，且对应的ValidIssuer、ValidAudience值与OpenId提供商的配置完全一致
  • 确保SaveToken设置为true，保证验证后的Token被正确保存
  • 检查ValidateLifetime是否启用，若启用需确认服务器时间与OpenId提供商时间同步（时间偏差可能导致Token被判定为过期）

• 核对Owin中间件顺序
  Owin中间件执行顺序直接影响认证流程，确保配置顺序为：

  app.UseCookieAuthentication(new CookieAuthenticationOptions());
  app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions());
  

  Cookie认证中间件需在OpenIdConnect中间件之前注册，否则无法持久化认证身份。

• 检查机器密钥（machineKey）配置
  旧.NET应用若未手动配置machineKey，IIS会自动生成随机密钥，应用池回收或服务器重启后密钥会变更，导致已生成的认证Cookie无法解密，触发重复认证。需在web.config中添加固定的machineKey配置：

  <system.web>
    <machineKey validationKey="YOUR_VALIDATION_KEY" decryptionKey="YOUR_DECRYPTION_KEY" validation="SHA1" decryption="AES" />
  </system.web>
  

  可通过工具生成安全的密钥值。

• 查看Windows事件日志
  打开Windows事件查看器，定位到「Windows日志 -> 应用程序」，筛选与.NET、Owin相关的错误日志，可能找到Cookie加密失败、Token验证异常等具体原因。

• 排查自定义授权逻辑
  检查控制器的[Authorize]属性是否附带角色/用户限制，或是否存在自定义授权过滤器。部分自定义逻辑可能错误重置User.Identity.IsAuthenticated状态，需验证过滤器中是否正确传递认证身份。

• 确认SecurityTokenValidated事件处理逻辑
  在SecurityTokenValidated事件中，确保正确完成ClaimsPrincipal的构建与登录操作，示例代码：

  SecurityTokenValidated = context =>
  {
      // 自定义Claims处理
      var claimsIdentity = new ClaimsIdentity(context.AuthenticationTicket.Identity.Claims, "Cookie");
      // 触发登录
      context.Authentication.SignIn(claimsIdentity);
      return Task.FromResult(0);
  }
  

  避免在该事件中遗漏SignIn操作，导致身份未被持久化。

• 检查第三方IIS模块干扰
  禁用IIS中可能影响请求的第三方模块（如URL Rewrite规则、Web应用防火墙），测试是否恢复正常。部分模块可能修改请求头或Cookie内容，导致认证信息丢失。

内容的提问来源于stack exchange，提问作者NiAu