.NET MVC跨域请求导致用户凭证失效问题的解决
最近在项目中遇到一个可奇怪的问题，在同一台服务器用不同的端口部署了两个系统A和B。其中B系统的一个功能去请求A系统的方法。
首先这个地方涉及了一个跨域的问题，通过对请求头里添加Access-Control-Allow-Origin解决了这个问题。这两个系统都是基于.net mvc中的form认证进行登录的，现在遇到
的问题就是，在同一个浏览器上两个系统都登录后，B系统的一个功能跨域去请求A系统的一个方法，能正常请求，请求的结果也是正常的，但在这个请求完成后A和B的认证都失效了
需要重新登录才行。接下来我就围绕着这一问题，来详细的写出问题排查的过程
一.FormsAuthenticationTicket 类
FormsAuthenticationTicket 类用于创建一个对象，该对象表示 forms 身份验证用于标识经过身份验证的用户的身份验证票证。 Forms 身份验证票证的属性和值与存储在 cookie 或 URL 中的加密字符串进行转换。FormsAuthentication 类提供 Encrypt 方法来创建一个字符串值，该字符串值可以存储在一个 cookie 中，也可以存储在 FormsAuthenticationTicket的 URL 中。 FormsAuthentication 类还提供了一个 Decrypt 方法，用于根据从 forms 身份验证 cookie 或 URL 检索到的加密的身份验证票证创建 FormsAuthenticationTicket 对象。这是官网给出的定义,通俗一点这个类就是一个身份验证的票证，用来记录用户的登录信息。当用户请求时它会进行验证。
二.Form认证的原理
1.用户输入密码进行登录
2.登录成功后，根据用户产出一个FormsAuthenticationTicket票据用来记录用户的登录
3.FormsAuthentication 的Encrypt进行加密FormsAuthenticationTicket
4.将加密的内容生成cookie,并进行返回
5.用户访问时将带着生成的cookie,服务端先解密，根据FormsAuthenticationTicket还原登录信息
6.设置HttpContext.User
FormsAuthenticationTicket是一个身份验证的票证，我们可以用两种方法来生成FormsAuthenticationTicket
1.直接new 一个
FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, username, DateTime.Now, DateTime.Now.AddMinutes(30), isPersistent, userData, FormsAuthentication.FormsCookiePath); // Encrypt the ticket. string encTicket = FormsAuthentication.Encrypt(ticket); // Create the cookie. Response.Cookies.Add(new HttpCookie(FormsAuthentication.FormsCookieName, encTicket)); // Redirect back to original URL. Response.Redirect(FormsAuthentication.GetRedirectUrl(username, isPersistent));
2.FormsAuthentication.SetAuthCookie();
//FormsAuthentication.SetAuthCookie() 中有一个GetAuthCookie能帮助我们生成FormsAuthenticationTicket private static HttpCookie GetAuthCookie(string userName, bool createPersistentCookie, string strCookiePath, bool hexEncodedTicket) { Initialize(); //完成初始化，读取web.config中的authentication节点，进行相应的设置（包括过期时间和登录地址以及form名称） if (userName == null) { userName = string.Empty; } if (strCookiePath == null || strCookiePath.Length < 1) { strCookiePath = FormsCookiePath; } DateTime utcNow = DateTime.UtcNow; DateTime expirationUtc = utcNow.AddMinutes(_Timeout); FormsAuthenticationTicket formsAuthenticationTicket = FormsAuthenticationTicket.FromUtc(2, userName, utcNow, expirationUtc, createPersistentCookie, string.Empty, strCookiePath); //初始化FormsAuthenticationTicket string text = Encrypt(formsAuthenticationTicket, hexEncodedTicket); //加密FormsAuthenticationTicket if (text == null || text.Length < 1) { throw new HttpException(SR.GetString("Unable_to_encrypt_cookie_ticket")); } HttpCookie httpCookie = new HttpCookie(FormsCookieName, text);//创建一个cookie,先剧透一下我们的问题也就是这里引起的。这里的FormsCookieName其实就是读取的authentication节点下，forms节点的名称 httpCookie.HttpOnly = true; httpCookie.Path = strCookiePath; httpCookie.Secure = _RequireSSL; if (_CookieDomain != null) { httpCookie.Domain = _CookieDomain; } if (formsAuthenticationTicket.IsPersistent) { httpCookie.Expires = formsAuthenticationTicket.Expiration; //设置cookie的过期时间 } httpCookie.SameSite = _cookieSameSite; return httpCookie; //返回根据FormsAuthenticationTicket生成的cookie }
三.回到我们的问题
经过上面分析Form认证的原理，我们了解到form认证的大致流程。那我们遇到的问题是在那个环节出错了呢。伦理上来讲，就算我是跨域请求但也不会影响到我的认证吧。经排查发现我们的问题出在HttpCookie httpCookie = new HttpCookie(FormsCookieName, text);这个地方。生成cookie的时候根据FormsCookieName进行生成。A系统和B系统都是Form认证，而且web.config文件下生成的forms配置节点的name也都是用的默认的_authTicket，也就是说A系统和B系统的FormsCookieName是相同的。这就会导致在同一浏览器上，两个系统都登录会产生两个cookie,跨域请求完成后，会拿着我们A系统的cookie去请求B系统，导致认证异常所以要重新登录。
解决方案就是：
1.修改将两个系统forms节点的name修改成不同的就能避免这个问题
2.使用不同的浏览器进行访问
