客户端无法通过身份获取 cookie

Question

我正在使用 ASP.NET Core 和 Angular 编写一个 SPA 应用程序。我正在使用 CORS 在前端和后端之间进行通信。我发现我登录后无法获得授权，并且客户端没有cookie。我已经卡了2天了，请帮助我。

在startup.cs，我有：

    public void ConfigureServices(IServiceCollection services)
    {
        services.AddCors(...)      
        services.AddDbContext<TaskMatrixContext>(...);
        services.AddControllers(...)
        services.Configure<IdentityOptions>(options =>
        {...}); 
        services.AddIdentity<AppUser,IdentityRole().
                 AddEntityFrameworkStores<TaskMatrixContext>();
        services.AddAuthentication().AddCookie();
        services.ConfigureApplicationCookie(options =>
        {...});
        services.AddAuthorization(options =>
        {...});  
         ...
    } 

    public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
    {
        ...
        app.UseRouting();
        app.UseCors("AllowMyOrigin");
        app.UseAuthentication();
        app.UseAuthorization();

        app.UseEndpoints(endpoints =>
        {
            endpoints.MapControllers();
        });
    }

这是我的AccountController：

[HttpPost("/login")]
public async Task<ActionResult<LoginDto>> Login(LoginDto model)
{
    if (ModelState.IsValid)
    {
        var result = await _signInManager.PasswordSignInAsync(model.Email, model.Password, model.RememberMe, true);

        if (result.Succeeded)
        {
            model.IsLoggedIn = true;
        }

        if (result.IsLockedOut)
        {
            model.IsLockedOut = true;
            model.RedirectUrl = "/account/lockedout";
        }
    }

    return model;
}

在我的前端：

login(dto:LoginInput):Observable<LoginResult> {
    return this.http.post<LoginResult>
                (this.baseUrl+'/login',dto).pipe(
                    tap(...)
                );
}

Answer 1

您应该使用withCredentials 选项：

https://developer.mozilla.org/en-US/docs/Web/API/XMLHttpRequest/withCredentials

在你的前端：

login(dto:LoginInput):Observable<LoginResult> {
    return this.http.post<LoginResult>
                (this.baseUrl+'/login',dto,{withCredentials: true}).pipe(
                    tap(...)
                );
}

每个需要身份验证cookie的请求都应该这样做

Answer 2

又经过几天的研究，我发现我们无法使用 Identity Core 在 REST Api 中实现身份验证。我们应该使用 JWT 生成令牌并进行验证。推荐的前端教程是： https://jasonwatmore.com/post/2019/10/14/aspnet-core-3-simple-api-for-authentication-registration-and-user-management 对于后端： https://dev.to/moe23/asp-net-core-5-rest-api-authentication-with-jwt-step-by-step-140d