1. 项目概述
在ASP.NET Core应用中实现身份验证是每个开发者都需要掌握的核心技能。Cookie身份验证作为最传统也最可靠的方案之一，特别适合需要保持登录状态的Web应用场景。不同于JWT等无状态方案，Cookie验证机制通过浏览器自动管理的Cookie来维持会话状态，减少了前端代码的复杂度。
我在多个企业级项目中都采用过Cookie验证方案，它的优势主要体现在：与ASP.NET Core深度集成、开箱即用的Remember Me功能、自动防范CSRF攻击（配合防伪令牌）以及良好的浏览器兼容性。不过要注意，纯Cookie方案在跨域场景下需要额外配置，这是很多新手容易踩坑的地方。
2. 核心实现步骤
2.1 创建登录视图模型
登录视图模型是验证用户输入的第一道防线。在BlogApp.Models命名空间下创建LoginViewModel时，我通常会这样优化：
csharp复制using System.ComponentModel.DataAnnotations;
namespace BlogApp.Models
{
public class LoginViewModel
{
[Required(ErrorMessage = "邮箱地址不能为空")]
[EmailAddress(ErrorMessage = "请输入有效的邮箱格式")]
[Display(Name = "邮箱")]
public string? Email { get; set; }
[Required(ErrorMessage = "密码不能为空")]
[DataType(DataType.Password)]
[Display(Name = "密码")]
[StringLength(100, MinimumLength = 8,
ErrorMessage = "密码长度需在8-100个字符之间")]
public string? Password { get; set; }
[Display(Name = "记住我")]
public bool RememberMe { get; set; }
}
}
关键点说明：
- ErrorMessage属性提供了本地化的错误提示
- StringLength验证确保密码强度
- 添加RememberMe选项为后续持久化Cookie做准备
2.2 构建登录视图
登录视图需要处理表单提交和验证错误显示。使用Bootstrap 5可以快速构建响应式表单：
html复制@model LoginViewModel
<div class="row justify-content-center mt-5">
<div class="col-md-6">
<div class="card shadow-sm">
<div class="card-body">
<h2 class="card-title text-center mb-4">用户登录</h2>
<form asp-controller="Account" asp-action="Login" method="post"
asp-route-returnUrl="@Context.Request.Query["ReturnUrl"]">
<div asp-validation-summary="ModelOnly" class="alert alert-danger"></div>
<div class="mb-3">
<label asp-for="Email" class="form-label"></label>
<input asp-for="Email" class="form-control"
placeholder="请输入注册邮箱">
<span asp-validation-for="Email" class="text-danger small"></span>
</div>
<div class="mb-3">
<label asp-for="Password" class="form-label"></label>
<input asp-for="Password" class="form-control"
placeholder="请输入密码">
<span asp-validation-for="Password" class="text-danger small"></span>
</div>
<div class="mb-3 form-check">
<input asp-for="RememberMe" class="form-check-input">
<label asp-for="RememberMe" class="form-check-label"></label>
</div>
<button type="submit" class="btn btn-primary w-100 py-2">登 录</button>
</form>
</div>
</div>
</div>
</div>
@section Scripts {
<partial name="_ValidationScriptsPartial" />
}
注意事项：
- 添加returnUrl参数支持登录后跳转
- 使用_ValidationScriptsPartial启用客户端验证
- 合理的间距和响应式布局提升移动端体验
2.3 布局中的认证状态管理
在_Layout.cshtml中，我推荐使用更完整的用户状态展示：
html复制<ul class="navbar-nav ms-auto">
@if (User.Identity!.IsAuthenticated)
{
<li class="nav-item dropdown">
<a class="nav-link dropdown-toggle" href="#" role="button"
data-bs-toggle="dropdown" aria-expanded="false">
@User.FindFirstValue(ClaimTypes.GivenName)
</a>
<ul class="dropdown-menu dropdown-menu-end">
<li><a class="dropdown-item" href="/profile">个人中心</a></li>
<li><hr class="dropdown-divider"></li>
<li>
<form asp-controller="Account" asp-action="Logout" method="post">
<button type="submit" class="dropdown-item">退出登录</button>
</form>
</li>
</ul>
</li>
}
else
{
<li class="nav-item">
<a class="nav-link" href="/register">注册</a>
</li>
<li class="nav-item">
<a class="nav-link" href="/login">登录</a>
</li>
}
</ul>
2.4 控制器登录逻辑实现
AccountController中的登录方法需要处理多种情况：
csharp复制[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Login(LoginViewModel model, string? returnUrl)
{
if (!ModelState.IsValid)
{
return View(model);
}
// 实际项目中应使用密码哈希验证
var user = await _userManager.FindByEmailAsync(model.Email);
if (user == null || !await _userManager.CheckPasswordAsync(user, model.Password))
{
ModelState.AddModelError(string.Empty, "用户名或密码错误");
return View(model);
}
var claims = new List<Claim>
{
new(ClaimTypes.NameIdentifier, user.Id),
new(ClaimTypes.Name, user.UserName),
new(ClaimTypes.GivenName, user.FullName),
new(ClaimTypes.Email, user.Email)
};
// 添加角色声明
var roles = await _userManager.GetRolesAsync(user);
claims.AddRange(roles.Select(role => new Claim(ClaimTypes.Role, role)));
var authProperties = new AuthenticationProperties
{
IsPersistent = model.RememberMe,
ExpiresUtc = model.RememberMe ?
DateTimeOffset.UtcNow.AddDays(30) : null
};
await HttpContext.SignInAsync(
CookieAuthenticationDefaults.AuthenticationScheme,
new ClaimsPrincipal(new ClaimsIdentity(claims,
CookieAuthenticationDefaults.AuthenticationScheme)),
authProperties);
return LocalRedirect(returnUrl ?? "/");
}
安全增强措施：
- 使用[ValidateAntiForgeryToken]防范CSRF攻击
- 密码应该使用哈希存储和验证
- 支持角色声明和多角色用户
- 合理的Cookie过期时间设置
2.5 认证中间件配置
Program.cs中的配置需要特别注意中间件顺序：
csharp复制var builder = WebApplication.CreateBuilder(args);
// 添加认证服务
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
.AddCookie(options =>
{
options.Cookie.Name = "AuthCookie";
options.LoginPath = "/Account/Login";
options.AccessDeniedPath = "/Account/AccessDenied";
options.ExpireTimeSpan = TimeSpan.FromDays(30);
options.SlidingExpiration = true;
options.Cookie.HttpOnly = true;
options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
});
// 添加授权服务
builder.Services.AddAuthorization(options =>
{
options.AddPolicy("RequireAdmin", policy =>
policy.RequireRole("Admin"));
});
var app = builder.Build();
// 中间件顺序非常重要
app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();
app.MapControllers();
app.MapRazorPages();
app.Run();
3. 高级应用与安全实践
3.1 跨控制器使用认证信息
在其他控制器中获取用户信息有多种方式：
csharp复制// 方法1：通过User属性直接获取
var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
// 方法2：使用HttpContext
var userName = HttpContext.User.Identity?.Name;
// 方法3：通过依赖注入获取
public class PostController : Controller
{
private readonly IHttpContextAccessor _httpContextAccessor;
public PostController(IHttpContextAccessor httpContextAccessor)
{
_httpContextAccessor = httpContextAccessor;
}
public IActionResult Index()
{
var userId = _httpContextAccessor.HttpContext?
.User.FindFirstValue(ClaimTypes.NameIdentifier);
// ...
}
}
3.2 安全增强措施
-
Cookie安全配置：
csharp复制services.ConfigureApplicationCookie(options => { options.Cookie.SameSite = SameSiteMode.Strict; options.Cookie.HttpOnly = true; options.Cookie.SecurePolicy = CookieSecurePolicy.Always; options.SlidingExpiration = true; options.ExpireTimeSpan = TimeSpan.FromMinutes(30); }); -
防范会话固定攻击：
csharp复制await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme); -
登录失败限制：
csharp复制if (await _userManager.IsLockedOutAsync(user)) { ModelState.AddModelError(string.Empty, "账户已锁定，请稍后再试"); return View(model); }
4. 常见问题排查
4.1 Cookie未生效问题排查
-
检查中间件顺序：
- UseAuthentication必须在UseAuthorization之前
- 两者都必须在UseRouting之后、UseEndpoints之前
-
检查Cookie配置：
csharp复制.AddCookie(options => { options.Cookie.Name = "YourApp.Auth"; options.LoginPath = "/Account/Login"; options.AccessDeniedPath = "/Account/AccessDenied"; }); -
浏览器开发者工具检查：
- 查看Application → Cookies中是否有预期的Cookie
- 检查Cookie的Domain/Path/Secure属性是否正确
4.2 认证信息丢失问题
-
滑动过期配置：
csharp复制options.SlidingExpiration = true; options.ExpireTimeSpan = TimeSpan.FromMinutes(30); -
持久化Cookie配置：
csharp复制new AuthenticationProperties { IsPersistent = true, ExpiresUtc = DateTimeOffset.UtcNow.AddMonths(1) }; -
跨域问题处理：
- 确保前后端域名一致
- 必要时配置CORS策略
5. 性能优化建议
-
减少Cookie大小：
- 只存储必要声明（如UserId）
- 避免存储大量角色信息
-
会话存储优化：
csharp复制services.AddDistributedMemoryCache(); // 开发环境 services.AddStackExchangeRedisCache(options => // 生产环境 { options.Configuration = "localhost:6379"; }); -
异步验证优化：
csharp复制public class CustomCookieAuthenticationEvents : CookieAuthenticationEvents { public override async Task ValidatePrincipal( CookieValidatePrincipalContext context) { // 自定义验证逻辑 } }
在实际项目中，我发现合理配置Cookie过期时间和会话存储策略，可以显著提升用户体验同时保证安全性。特别是在高并发场景下，将会话数据迁移到Redis等分布式缓存中，能有效减轻数据库压力。