asp.net core 1.x提供了通过cookie 中间件将用户主体序列化为一个加密的cookie，然后在后续请求中验证cookie并重新创建主体，并将其分配给httpcontext.user属性。如果您要提供自己的登录界面和用户数据库，可以使用作为独立功能的cookie中间件。
asp.net core 2.x的一个主要变化是不再存在cookie中间件。取而代之的是在startup.cs文件中的configure方法中的调用useauthentication方法会添加设置httpcontext.user属性的 authenticationmiddleware 中间件。
添加配置
asp.net core 1.x
按下列步骤操作：
在您的项目中安装microsoft.aspnetcore.authentication.cookiesnuget包。此包包含cookie中间件。
在startup.cs文件中的configure方法中添加下面的行，在app.usemvc()语句之前：
asp.net core 2.x
按下列步骤操作：
如果不使用microsoft.aspnetcore.all 元包，则在您的项目中安装2.0版的microsoft.aspnetcore.authentication.cookiesnuget包。
在startup.cs文件中的configure方法中调用useauthentication方法：
在startup.cs文件中的configureservices方法中调用addauthentication和addcookie方法：
上面的代码片段配置了以下部分或全部选项：
- accessdeniedpath – 当用户尝试访问资源但没有通过任何时，这是请求会重定向的相对路径资源。
- authenticationscheme – 这是一个已知的特定cookie认证方案的值。当有多个cookie验证实例，并且您想时，这就非常有用。
- automaticauthenticate – 此标识仅适用于asp.net core 1.x。它表示cookie身份验证应在每个请求上运行，并尝试验证和重建序列化主体。
- automaticchallenge – 此标识仅适用于asp.net core 1.x。这表示当授权失败时，1.x cookie认证应将浏览器重定向到loginpath或accessdeniedpath。
- loginpath – 当用户尝试访问资源但尚未认证时，这是请求重定向的相对路径。
其它选项包括为cookie认证创建的设置选项，身份验证的cookie的名称，cookie的域和cookie各种安全属性。默认情况下，cookie身份验证为其创建的任何cookie使用适当的安全选项，例如：
- 设置httponly标志以防止客户端javascript中访问cookie
- 如果请求是通过https访问，则将cookie限制为https
创建身份认证cookie
要创建一个保存用户信息的cookie，您必须构建一个claimsprincipal 保存您希望序列化到cookie中的信息。
asp.net core 1.x
asp.net core 2.x
这将创建一个加密的cookie并将其添加到当前响应中。在调用signinasync时，必须在配置中指定的authenticationscheme。
顺便提一下，使用的加密方式是asp.net core的data protection系统。如果您在多台机器上进行托管、负载平衡或使用web集群，则需要配置data protection才能使用相同的密钥和应用程序标识符。
signing out(登出)
要退出当前用户并删除其cookie，请在控制器中调用以下方法：
asp.net core 1.x
asp.net core 2.x
服务端变化反馈
警告： 一旦创建了认证的cookie，它将成为唯一的身份来源。即使您在服务系统中禁用用户，cookie身份验证也无法了解此信息，只要cookie有效，用户仍可登录。
cookie认证在其选项中提供了一系列事件。validateasync()事件可用于拦截和重写cookie身份验证。
可以考虑在后端用户数据库中增加lastchanged列。为了在数据库更改时使cookie无效，您应该首先在创建cookie时添加一个lastchanged包含当前值的声明。数据库更改时，更新lastchanged例的值。
要重写validateasync()事件的实现，您必须编写一个具有以下签名的方法：
asp.net core identity 在securitystampvalidator实现了这一逻辑，链接地址。示例如下所示：
asp.net core 1.x
然后，在startup.cs文件中的configure方法中将cokie认证配置进行重写：
asp.net core 2.x
然后，将在startup.cs的configureservices方法中将cookie服务注册进行配置：
如果要非破坏性地更新用户主体，可以调用context.replaceprincipal()，并将context.shouldrenew属性设置为true。
cookie设置选项
cookieauthenticationoptions类提供了各种配置选项，在创建时调整cookie的配置。
asp.net core 1.x
- claimsissuer是由中间件创建的任何声明时使用的issuer属性。
- cookiedomain是提供cookie的域名。默认情况下，这是发送请求的主机名。浏览器仅将cookie提供给匹配的主机名。您可能希望对此进行调整，以便您的域中的任何主机都可以使用cookie。例如，将cookie域名设置为.contoso.com，可以使用cookie的域名有contoso.com、www.contoso.com、staging.www.contoso.com等。
- cookiehttponly是一个标识，指定cookie是否只能由服务器访问。默认为true。如果您的应用程序具有cross-site scripting(xss)的问题，更改此值可能会导致cookie被盗用。
- cookiepath可用于隔离在相同主机名上运行的应用程序。如果你有一个应用程序在/app1中运行，并希望限制发送的cookie只发送到该应用程序，那么您应该将cookiepath属性设置为/app1。通过这样做，cookie只适用于对/app1或其下任何内容的请求。
- cookiesecure是一个标识，表示创建的cookie是否应该被限制为https，http或https，或与请求相同的协议。默认为sameasrequest。
- expiretimespan是timespan类型，在此时间段之后cookie将过期。将当前日期加上此时间段为创建cookie的到期日期。
- slidingexpiration是一个标识，指示当超过一半的expiretimespan间隔时，cookie到期日期是否复位。新的到期日是当前时间加上expiretimespan。调用signinasync时，可以使用authenticationproperties类设置绝对到期时间。绝对到期时间可以通过限制认证cookie有效的时间来提高应用程序的安全性。
在startup.cs文件中的configure方法中使用cookieauthenticationoptions的例子如下：
asp.net core 2.x
asp.net core 2.x 统一了用于配置cookie的api。1.x api已被标记为过时，并且在cookieauthenticationoptions类中引入了一种类型为cookiebuilder新的cookie属性。建议您迁移到2.x api。
- claimsissuer是由cookie认证创建的任何声明时使用的issuer属性。
- cookiebuilder.domain是提供cookie的域名。默认情况下，这是发送请求的主机名。浏览器仅将cookie提供给匹配的主机名。您可能希望对此进行调整，以便您的域中的任何主机都可以使用cookie。例如，将cookie域名设置为.contoso.com，可以使用cookie的域名有contoso.com、、staging.www.contoso.com等
- cookiebuilder.httponly是一个标识，指定cookie是否只能由服务器访问。默认为true。如果您的应用程序具有cross-site scripting(xss)的问题，更改此值可能会导致cookie被盗用。
- cookiebuilder.path可用于隔离在相同主机名上运行的应用程序。如果你有一个应用程序在/app1中运行，并希望限制发送的cookie只发送到该应用程序，那么您应该将cookiepath属性设置为/app1。通过这样做，cookie只适用于对/app1或其下任何内容的请求。
- cookiebuilder.samesite表示浏览器是否允许cookie被附加到同一站点或跨站点的请求。默认为samesitemode.lax。
- cookiebuilder.securepolicy是一个标识，表示创建的cookie是否应该被限制为https，http或https，或与请求相同的协议。默认为sameasrequest。
- expiretimespan是timespan类型，在此时间段之后cookie将过期。将当前日期加上此时间段为创建cookie的到期日期。
- slidingexpiration是一个标识，指示当超过一半的expiretimespan间隔时，cookie到期日期是否复位。新的到期日是当前时间加上expiretimespan。调用signinasync时，可以使用authenticationproperties类设置绝对到期时间。绝对到期时间可以通过限制认证cookie有效的时间来提高应用程序的安全性。
在startup.cs的configureservices方法中使用cookieauthenticationoptions的例子如下：
持久cookie和绝对到期时间
您可能希望cookie在浏览器会话中持续存在，并希望设置身份和cookie传输的绝对过期时间。这种持久性应该只能是用户显示同意，在登录时的“记住我”复选框或类似的机制启用。您可以通过在创建身份认证cookie时调用的signinasync方法中使用authenticationproperties参数来执行这些操作。例如：
asp.net core 1.x
上述代码片段中使用的authenticationproperties类，位于microsoft.aspnetcore.http.authentication命名空间中。
asp.net core 2.x
上述代码片段中使用的authenticationproperties类，位于microsoft.aspnetcore.authentication命名空间中。
上面的代码段创建一个身份和相应的cookie，直到浏览器关闭。以前通过cookie设置选项配置的任何滑动过期设置仍然有效。如果cookie在浏览器关闭时过期，浏览器会在重新启动后清除它。如果cookie在浏览器关闭时过期，浏览器会在重新启动后清除它。
asp.net core 1.x
asp.net core 2.x
上述代码段创建一个持续20分钟的身份和相应的cookie。这将忽略以前通过cookie设置选项配置的任何滑动过期设置。
expiresutc和ispersistent属性是互斥的。
原文：《using cookie authentication without asp.net core identity》
翻译：sweet tang
本文地址：http://www.cnblogs.com/tdfblog/p/aspnet-core-security-authentication-cookie.html
到此这篇关于asp.net core 使用cookie验证身份的示例代码的文章就介绍到这了,更多相关asp.net core cookie验证身份内容请搜索www.887551.com以前的文章或继续浏览下面的相关文章希望大家以后多多支持www.887551.com！
