ASP.NET Web API 微服务 + Angular 前端 - 如何管理 auth cookie？

Question

当涉及到 Cookie 身份验证（ASP.NET）和使用 Angular 的单独（CORS）前端时，任何人都可以建议什么是标准做法。

我遇到的问题是，当我使用 Postman/ Swagger 登录我的 Web API - 创建了 Auth Cookie。 当我通过 localhost:4200 使用 Angular 时，没有创建 cookie。

对于 angular post 方法 Http 标头配置，我使用{withCredentials: true}这些是我的 cookie 加上 API 的 CORS 的配置：1 - 中间件

app.UseCors(builder =>
     builder
  .WithOrigins("http://localhost:4200")
  .AllowAnyHeader()
  .AllowCredentials()
  .AllowAnyMethod());

app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers()
             .RequireCors(MyAllowSpecificOrigins);
});

app.MapControllers();

app.Run();

2 - 注册 CORS 服务：

builder.Services.AddCors(options =>
{
    options.AddPolicy(name: MyAllowSpecificOrigins,
                      policy =>
                      {
                          policy.WithOrigins("http://localhost:4200");
                          policy.AllowAnyHeader();
                          policy.AllowAnyMethod();
                          policy.AllowCredentials();
                      });
});

3 - Cookie 配置：

builder.Services.ConfigureApplicationCookie(config =>
{
    config.Cookie.Name = "Identity.Cookie";
    config.LoginPath = "/User/Login";
    config.LogoutPath = "/User/Logout";
    config.Cookie.HttpOnly = false;

    config.Cookie.SameSite = SameSiteMode.None;
    config.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;

一些用户反映在使用 Localhost:4200 时客户端浏览器中不应创建 cookie，例如我已经阅读了此意见但无法理解其含义，确切地说：“后续请求将由浏览器发送，浏览器将自动带上 cookies。” 也许，我应该只分配一个简单的变量来检查登录的响应是否为 200 好的，然后将其用作确认，稍后在代码中？

那么，任何人都可以建议标准做法是什么来验证我的前端吗？

Answer 1

好的，所以我更新了我的 Cookie 和 CORS 配置。 此外，目前，我的 Angular 前端正在使用 http，但在未来的版本中，我将使用 https 修复它。

所以现在，我可以确认这个配置是有效的。 每当我从 Angular 应用程序成功登录时，都会在其中创建一个 cookie。 然后这个cookie也被后端成功读取，从而完成后端所需的安全过程！

我希望我能帮助别人阅读这个主题。 并且不要忘记添加

{withCredentials : true}

在您的 Angular 应用程序发出的每个 HttpRequest 的标头中。