在 .Net 和 Core 上跨子域的 ASP.NET Identity Cookie

Question

我有许多托管在主域和子域上的应用程序：

网站 A，ASP.NET (.Net Core 2.0) 位于 www.example.com

网站 B，ASP.NET MVC (4.7 .net Framework) 在 site.example.com

网站 C，ASP.NET Identity (.Net Core 2.0) at account.example.com

网站 D，ASP.NET Webform（4.7 .net Framework）位于 file.example.com

我想在account.example.com上登录使用，经过身份验证后用户将重定向到其他网站。 他们将通过其他网站上的角色获得授权。

我正在尝试在这些网站之间共享一个 cookie，并且所有网站都托管在Azure Web App上。

我正在使用ASP.NET Identity (.Net Core 2.0) 。 我正在使用内置的 cookie 身份验证。

我如何在所有应用程序中使用数据保护并在它们之间共享 cookie。

对于数据保护，我的代码是：

 services.AddDataProtection()
            .SetApplicationName("example")
            .PersistKeysToFileSystem(new DirectoryInfo(@"%HOME%\ASP.NET\DataProtection-Keys"))
            .SetDefaultKeyLifetime(TimeSpan.FromDays(14));

对于 Cookie 身份验证，我的代码是：

 app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            LoginPath = new PathString("/Account/Login"),
            CookieDomain = ".example.com"
        });

Answer 1

我从这个微软文档中得到了解决方案

使用 ASP.NET 和 ASP.NET Core 在应用程序之间共享 cookie

以及此子域身份验证系统的示例代码

Cookie 共享示例应用程序 - GitHub

该示例说明了在使用 cookie 身份验证的三个应用程序之间共享 cookie：

• 不使用 ASP.NET Core Identity 的 ASP.NET Core 2.0 Razor Pages 应用程序
• 具有 ASP.NET Core Identity 的 ASP.NET Core 2.0 MVC 应用程序
• 具有 ASP.NET 标识的 ASP.NET Framework 4.6.1 MVC 应用程序

将此代码放入 Startup.cs 中的 ConfigureServices 方法中

services.AddDataProtection()
.PersistKeysToFileSystem(GetKeyRingDirInfo())
.SetApplicationName("example");

services.ConfigureApplicationCookie(options => 
{   
options.Cookie.Name = "example";
options.Cookie.Domain = ".example.com";
});

对于 KeyRing 方法

private DirectoryInfo GetKeyRingDirInfo()
    {
        var startupAssembly = System.Reflection.Assembly.GetExecutingAssembly();
        var applicationBasePath = System.AppContext.BaseDirectory;
        var directoryInfo = new DirectoryInfo(applicationBasePath);
        do
        {
            directoryInfo = directoryInfo.Parent;

            var keyRingDirectoryInfo = new DirectoryInfo(Path.Combine(directoryInfo.FullName, "KeyRing"));
            if (keyRingDirectoryInfo.Exists)
            {
                return keyRingDirectoryInfo;
            }
        }
        while (directoryInfo.Parent != null);

        throw new Exception($"KeyRing folder could not be located using the application root {applicationBasePath}.");
    }

注意：您必须复制Identity应用托管服务器上自动生成的KeyRing文件，手动粘贴到其他网站的其他子域和主域托管服务器上，共享cookie进行身份验证。

Answer 2

关于.Net Core，如果你想在多个站点之间共享你的cookie，你可以尝试以下初始化它而不是UseCookieAuthentication：

services.AddAuthentication();
services.ConfigureApplicationCookie(options =>
{
    // Cookie settings
    options.Cookie.SameSite = Microsoft.AspNetCore.Http.SameSiteMode.Lax;
    options.Cookie.Name = "CookieName";

    //options.Cookie.Domain = ".localhost";
    if (!CurrentEnvironment.IsDevelopment())
        options.Cookie.Domain = CommonConfig.CookieDomain; // ".mydomain.com"

    options.Cookie.HttpOnly = false;

    options.Cookie.Expiration = TimeSpan.FromDays(5 * 30);
    options.SlidingExpiration = true;
    options.Cookie.SecurePolicy = Microsoft.AspNetCore.Http.CookieSecurePolicy.Always;

    options.LoginPath = new PathString("/Account/Login"); 
    options.LogoutPath = new PathString("/Account/Logoff"); 
    options.AccessDeniedPath = new PathString("/Account/Login"); 


    var protectionProvider = DataProtectionProvider.Create(new DirectoryInfo(CommonConfig.PersistKeysStoreC));
    options.DataProtectionProvider = protectionProvider;

    // This adds claims data to the cookie...
    options.Events.OnSignedIn = async (context) =>
        {   
            System.Security.Claims.ClaimsIdentity identity = (System.Security.Claims.ClaimsIdentity)context.Principal.Identity;

            UserManager<AppUser> userManager = context.HttpContext.RequestServices.GetService<UserManager<AppUser>>();
            AppUser user = await userManager.GetUserAsync(context.Principal);
            identity.AddClaim(new System.Security.Claims.Claim(System.Security.Claims.ClaimTypes.NameIdentifier, user.Id.ToString()));
            //identity.AddClaim(new System.Security.Claims.Claim(System.Security.Claims.ClaimTypes.Email, user.Email.ToString()));
            //identity.AddClaim(new System.Security.Claims.Claim(System.Security.Claims.ClaimTypes.Name, user.LastName));
            //identity.AddClaim(new System.Security.Claims.Claim(System.Security.Claims.ClaimTypes.GivenName, user.FirstName));
        };
});

当然，您需要为所有站点提供相同的 ProtectionProvider 路径。