asp.net core中使用cookie身份验证-CSDN博客

本文围绕ASP.NET Core Identity展开，指出其是全功能身份验证提供程序，但cookie不能用其基于的身份验证。介绍了配置身份验证中间件服务的方法，包括设置身份验证方案等；还说明了登录时创建保存用户信息cookie、注销时删除cookie的操作。

背景

ASP.NET Core Identity 是一个完整的全功能身份验证提供程序，用于创建和维护登录名。但是， cookie 不能使用基于的身份验证提供程序 ASP.NET Core Identity 。

配置

在 Startup.ConfigureServices 方法中，创建具有 AddAuthentication 和 AddCookie 方法的身份验证中间件服务：

  services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme).AddCookie();

  app.UseAuthentication();

AuthenticationScheme 传递到 AddAuthentication 设置应用程序的默认身份验证方案。如果有多个 cookie 身份验证实例，并且你想要使用特定方案进行授权，AuthenticationScheme 会很有用。将 AuthenticationScheme 设置为CookieAuthenticationDefaults。AuthenticationScheme为方案提供值 "cookie"。可以提供任何用于区分方案的字符串值。
应用的身份验证方案不同于应用的 cookie 身份验证方案。如果未向 AddCookie提供 cookie 身份验证方案，则使用 CookieAuthenticationDefaults.AuthenticationScheme （"Cookie"）。
默认情况下，身份验证 cookie 的 IsEssential 属性设置为 true。当站点访问者未同意数据收集时，允许使用身份验证 cookie。

  /// <summary>
        ///
        /// </summary>
        /// <param name="model"></param>
        /// <param name="returnUrl"></param>
        /// <returns></returns>
        [HttpPost]
        [AllowAttribute]
        [ValidateAntiForgeryToken]
        public async Task<IActionResult> Login(LoginModel model, string returnUrl = null)
        {
            if (!ModelState.IsValid)
            {
                return Json(new { state = "error", message = "数据验证失败" });
            }
            string ip = GetRemoteIpAddress();
            var r = await UserApp.SaasLoginAsync(model.Account, model.Password, ip);
            if (!string.IsNullOrEmpty(r.Error))
            {
                return Json(new { state = "error", message = r.Error });
            }
            var claims = new List<Claim>
                                        {
                                            new Claim(ClaimTypes.UserData, getCurrentUser(r.User, ip).ToString()),
                                        };
            var claimsIdentity = new ClaimsIdentity(
                claims, CookieAuthenticationDefaults.AuthenticationScheme);
            var authProperties = new AuthenticationProperties
            {
                ExpiresUtc = DateTimeOffset.Now.AddMinutes(120)
            };
            await HttpContext.SignInAsync(
                CookieAuthenticationDefaults.AuthenticationScheme,
                new ClaimsPrincipal(claimsIdentity),
                authProperties);
            return Json(new { state = "success", message = "登录成功。", returnUrl = RedirectToLocal(returnUrl) });
        }

SignInAsync 创建加密的 cookie，并将其添加到当前响应中。如果未指定 AuthenticationScheme，则使用默认方案。
ASP.NET Core 的数据保护系统用于加密。对于托管在多台计算机上的应用程序、跨应用程序或使用 web 场进行负载平衡，请将数据保护配置为使用相同的密钥环和应用程序标识符。

注销

若要注销当前用户并删除其 cookie，请调用 SignOutAsync：

  /// <summary>
        ///
        /// </summary>
        /// <returns></returns>
        [HttpPost]
        [ValidateAntiForgeryToken]
        public async Task<IActionResult> LogOff()
        {
            if (bool.Parse(Configuration.GetSection("IsIdentity").Value))
            {
                return SignOut("Cookies", "oidc");
            }
            else
            {
                if (User.Identity.IsAuthenticated)
                {
                    string userdata = User.Claims.FirstOrDefault(o => o.Type == ClaimTypes.UserData)?.Value;
                    await UserApp.LogOffAsync(CurrentUser.FromJson(userdata));
                }
                await HttpContext.SignOutAsync(
                 CookieAuthenticationDefaults.AuthenticationScheme);
                return RedirectToAction(actionName: nameof(Login), controllerName: "Account");
            }
        }