ASP.NET файлы cookie SessionId + OWIN не отправляются в браузер

начиная с большого анализа @TomasDolezal, я посмотрел как на Owin, так и на систему.Веб-источник.

проблема в этой системе.Веб имеет свой собственный главный источник информации cookie, и это не заголовок Set-Cookie. Owin знает только о заголовке Set-Cookie. Обходной путь - убедиться, что любые куки, установленные Owin, также установлены в HttpContext.Current.Response.Cookies коллекция.

Я сделал небольшое промежуточное ПО (источник, NuGet для), что делает именно то, что предназначено для размещения непосредственно над регистрацией промежуточного программного обеспечения cookie.

app.UseKentorOwinCookieSaver();

app.UseCookieAuthentication(new CookieAuthenticationOptions());

короче, менеджер файлов cookie .NET выиграет над менеджером файлов cookie OWIN и перезапишет файлы cookie, установленные на уровне OWIN. Исправление заключается в использовании класс SystemWebCookieManager, предоставленный в качестве решения для проекта Katana здесь. Вам нужно использовать этот класс или аналогичный ему, который будет заставить OWIN использовать диспетчер файлов cookie .NET, чтобы не было несоответствий:

public class SystemWebCookieManager : ICookieManager
{
    public string GetRequestCookie(IOwinContext context, string key)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }

        var webContext = context.Get<HttpContextBase>(typeof(HttpContextBase).FullName);
        var cookie = webContext.Request.Cookies[key];
        return cookie == null ? null : cookie.Value;
    }

    public void AppendResponseCookie(IOwinContext context, string key, string value, CookieOptions options)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }
        if (options == null)
        {
            throw new ArgumentNullException("options");
        }

        var webContext = context.Get<HttpContextBase>(typeof(HttpContextBase).FullName);

        bool domainHasValue = !string.IsNullOrEmpty(options.Domain);
        bool pathHasValue = !string.IsNullOrEmpty(options.Path);
        bool expiresHasValue = options.Expires.HasValue;

        var cookie = new HttpCookie(key, value);
        if (domainHasValue)
        {
            cookie.Domain = options.Domain;
        }
        if (pathHasValue)
        {
            cookie.Path = options.Path;
        }
        if (expiresHasValue)
        {
            cookie.Expires = options.Expires.Value;
        }
        if (options.Secure)
        {
            cookie.Secure = true;
        }
        if (options.HttpOnly)
        {
            cookie.HttpOnly = true;
        }

        webContext.Response.AppendCookie(cookie);
    }

    public void DeleteCookie(IOwinContext context, string key, CookieOptions options)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }
        if (options == null)
        {
            throw new ArgumentNullException("options");
        }

        AppendResponseCookie(
            context,
            key,
            string.Empty,
            new CookieOptions
            {
                Path = options.Path,
                Domain = options.Domain,
                Expires = new DateTime(1970, 1, 1, 0, 0, 0, DateTimeKind.Utc),
            });
    }
}

при запуске приложения просто назначьте его, когда вы создайте свои зависимости OWIN:

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    ...
    CookieManager = new SystemWebCookieManager()
    ...
});

аналогичный ответ был предоставлен здесь, но он не включает в себя всю кодовую базу, необходимую для решения проблемы, поэтому я вижу необходимость добавить его здесь, потому что внешняя ссылка на проект Katana может пойти вниз, и это должно быть полностью записано как решение здесь.

команда Катана ответила на вопрос Томас Долезар поднял и вывесил документация о обходных путях:

обходные пути делятся на две категории. Один переконфигурировать Система.Web, поэтому он избегает использования ответа.Сбор печенье и перезапись печенья OWIN. Другой подход заключается в повторной настройке затронутые компоненты OWIN, поэтому они пишут cookies непосредственно в Система.Ответ веба.Коллекция печенье.

• убедитесь, что сеанс установлен до аутентификации: конфликт между системой.Куки-файлы Web и Katana по запросу, поэтому это может быть возможно, приложение установит сессию по какой-либо просьбе до прохождения проверки подлинности. Это должно быть легко сделать, когда пользователь сначала прибывает, но это может быть сложнее гарантировать позже, когда срок действия сеансовых или аутентификационных файлов cookie истекает и / или их необходимо обновить.
• отключить SessionStateModule-если приложение не полагается на информацию о сеансе, но модуль сеанса по-прежнему устанавливает cookie, который вызывает вышеуказанный конфликт, затем вы можете отключить модуль состояния сеанса.
• перенастроить CookieAuthenticationMiddleware для записи непосредственно в систему.Коллекция файлов cookie Web.

app.UseCookieAuthentication(new CookieAuthenticationOptions
                                {
                                    // ...
                                    CookieManager = new SystemWebCookieManager()
                                });

см. реализацию SystemWebCookieManager из документации (ссылка выше)

больше информации здесь

редактировать

ниже шаги, которые мы сделали, чтобы решить эту проблему. Как 1. и 2. решил проблему также отдельно, но мы решили применить оба на всякий случай:

1. Использовать SystemWebCookieManager

2. Установите переменную сеанса:

protected override void Initialize(RequestContext requestContext)
{
    base.Initialize(requestContext);

    // See http://stackoverflow.com/questions/20737578/asp-net-sessionid-owin-cookies-do-not-send-to-browser/
    requestContext.HttpContext.Session["FixEternalRedirectLoop"] = 1;
}

(боковое Примечание: метод Initialize выше является логическим местом для исправления, потому что база.Initialize делает сеанс доступным. Однако исправление может также будет применено позже, потому что в OpenId сначала анонимный запрос, затем перенаправление к поставщику OpenId, а затем обратно в приложение. Проблемы возникнут после перенаправления обратно в приложение, в то время как исправление устанавливает переменную сеанса уже во время первого анонимного запроса, таким образом, исправляя проблему, прежде чем произойдет перенаправление назад)

Изменить 2

копировать-вставить проект Катана 2016-05-14:

добавить это:

app.UseCookieAuthentication(new CookieAuthenticationOptions
                                {
                                    // ...
                                    CookieManager = new SystemWebCookieManager()
                                });

...и это:

public class SystemWebCookieManager : ICookieManager
{
    public string GetRequestCookie(IOwinContext context, string key)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }

        var webContext = context.Get<HttpContextBase>(typeof(HttpContextBase).FullName);
        var cookie = webContext.Request.Cookies[key];
        return cookie == null ? null : cookie.Value;
    }

    public void AppendResponseCookie(IOwinContext context, string key, string value, CookieOptions options)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }
        if (options == null)
        {
            throw new ArgumentNullException("options");
        }

        var webContext = context.Get<HttpContextBase>(typeof(HttpContextBase).FullName);

        bool domainHasValue = !string.IsNullOrEmpty(options.Domain);
        bool pathHasValue = !string.IsNullOrEmpty(options.Path);
        bool expiresHasValue = options.Expires.HasValue;

        var cookie = new HttpCookie(key, value);
        if (domainHasValue)
        {
            cookie.Domain = options.Domain;
        }
        if (pathHasValue)
        {
            cookie.Path = options.Path;
        }
        if (expiresHasValue)
        {
            cookie.Expires = options.Expires.Value;
        }
        if (options.Secure)
        {
            cookie.Secure = true;
        }
        if (options.HttpOnly)
        {
            cookie.HttpOnly = true;
        }

        webContext.Response.AppendCookie(cookie);
    }

    public void DeleteCookie(IOwinContext context, string key, CookieOptions options)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }
        if (options == null)
        {
            throw new ArgumentNullException("options");
        }

        AppendResponseCookie(
            context,
            key,
            string.Empty,
            new CookieOptions
            {
                Path = options.Path,
                Domain = options.Domain,
                Expires = new DateTime(1970, 1, 1, 0, 0, 0, DateTimeKind.Utc),
            });
    }
}

ответы уже предоставлены, но в owin 3.1.0 есть класс SystemWebChunkingCookieManager, который можно использовать.

https://github.com/aspnet/AspNetKatana/blob/dev/src/Microsoft.Owin.Host.SystemWeb/SystemWebChunkingCookieManager.cs

https://raw.githubusercontent.com/aspnet/AspNetKatana/c33569969e79afd9fb4ec2d6bdff877e376821b2/src/Microsoft.Owin.Host.SystemWeb/SystemWebChunkingCookieManager.cs

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    ...
    CookieManager = new SystemWebChunkingCookieManager()
    ...
});

если вы сами устанавливаете cookies в промежуточном по OWIN, используйте OnSendingHeaders Кажется, обойти проблему.

например, используя код ниже owinResponseCookie2 будет установлен, хотя owinResponseCookie1 нет:

private void SetCookies()
{
    var owinContext = HttpContext.GetOwinContext();
    var owinResponse = owinContext.Response;

    owinResponse.Cookies.Append("owinResponseCookie1", "value1");

    owinResponse.OnSendingHeaders(state =>
    {
        owinResponse.Cookies.Append("owinResponseCookie2", "value2");
    },
    null);

    var httpResponse = HttpContext.Response;
    httpResponse.Cookies.Remove("httpResponseCookie1");
}

самое быстрое однострочное решение кода:

HttpContext.Current.Session["RunSession"] = "1";

просто добавьте эту строку перед методом CreateIdentity:

HttpContext.Current.Session["RunSession"] = "1";
var userIdentity = userManager.CreateIdentity(user, DefaultAuthenticationTypes.ApplicationCookie);
_authenticationManager.SignIn(new AuthenticationProperties { IsPersistent = rememberLogin }, userIdentity);

у меня был тот же симптом заголовка Set-Cookie, который не был отправлен, но ни один из этих ответов не помог мне. Все работало на моей локальной машине, но при развертывании для производства заголовки set-cookie никогда не будут установлены.

оказывается, это была комбинация использования пользовательского CookieAuthenticationMiddleware с WebApi вместе с поддержка сжатия WebApi

к счастью, я использовал ELMAH в своем проекте, который позволил мне регистрировать это исключение: