.NET Core 2.2 与 Identity Server 4 SameSite Cookie 更改问题

Question

我有一个单页 Web 应用程序，包含以下内容

1. Angular 8 前端
2. .Net Core Web Api 后端
3. .Net Core Identity Server 认证服务器

我最近开始在我的控制台中看到一些警告，上面写着 - “与“”处的跨站点资源关联的 cookie 被设置为没有 'SameSite' 属性。Chrome 的未来版本将仅提供带有跨站点资源的 cookie - 使用“SameSite=None”和“Secure”设置的站点请求。

因此，在此基础上，a 做了一些研究，并找到了下一篇文章，该文章恰好详细解释了正在发生的一切。 Explanation of Cookie Issue

我把这篇文章读了好几遍，认为我已经掌握了它，但我仍然在它的一个简单方面苦苦挣扎。有几个区域他们要求您将一些代码添加到您的“项目”中。我的问题是（仍然是身份服务器及其内部工作的新手），他们所指的“项目”是什么。我不确定将他们提供的代码放在哪里来解决问题。

1. 对我来说，将提供的代码放在何处并不那么明显。我有 2 个 Visual Studio 解决方案 - 一个代表我的身份验证服务器（身份服务器），一个代表我的 Web Api。我应该在这些解决方案的 Startup.cs 文件中添加哪些代码解决方案？
2. 如果我将它添加到我的身份服务器项目中，我的困惑是我没有使用任何“基于 Cookie 的身份验证”，因此在我的身份服务器项目中不存在我有一个设置 cookie 的地方并且我知道其中的一部分文章中提到的解决方案是添加一个既“安全”又设置为“Same-Site=None”的 cookie。我应该在项目的哪个位置创建这种类型的 cookie？
3. 我注意到的另一件事是，一旦设置了 cookie，它们在执行注销时不会被删除。

请注意，这些问题只会出现在运行 Google Chrome 的 MacOS 上。如果我在 Windows PC 上运行我的应用程序，我仍然会看到警告，但我可以注销并清除所有现有 cookie

Answer 1

您将在 Google Chrome 中遇到控制台冲突，并且您的身份服务器无法重定向到可能是适用于 Chrome 版本 80 的 React 应用或 Angular 应用的客户端。

与资源关联的 cookie 设置为 SameSite=None，但没有 Secure。它已被阻止，因为 Chrome 现在只提供标记为 SameSite=None 的 cookie，前提是它们也标记为安全。您可以在 Application>Storage>Cookies 下的开发人员工具中查看 cookie，并在 https://www.chromestatus.com/feature/5633521622188032 上查看更多详细信息。

要解决此问题，您需要在下面的链接中进行更改 -

https://www.thinktecture.com/en/identity/samesite/prepare-your-identityserver/

注意：对于 .Net Core 2.2，设置 SameSite = (SameSiteMode)(-1) ，对于 .Net Core 3.0 或更高版本，设置 SameSite = SameSiteMode.Unspecified

另外，对于 Chrome 80 版本，添加这个额外的条件 -

 if ( userAgent.Contains("Chrome/8"))
            {
                return true;
            }

Answer 2

IdentityServer 将始终在您登录时创建 cookie。 你可以在这里阅读更多 - http://docs.identityserver.io/en/3.1.0/topics/signin.html

这意味着身份服务器使用cookie来验证用户

您可以配置相同的站点cookie如下

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
            .AddCookie("Cookies", options =>
            {
                options.Cookie.SameSite = SameSiteMode.Lax;
            });