ASP.NET sessionId + OWIN Cookies не отправляются в браузер

начиная с большого анализа @TomasDolezal, я посмотрел как на Owin, так и на систему.Веб-источник.

проблема в том, что система.Web имеет свой собственный главный источник информации о cookie, и это не заголовок Set-Cookie. Owin знает только о заголовке Set-Cookie. Обходной путь заключается в том, чтобы убедиться, что любые куки, установленные Owin, также установлены в HttpContext.Current.Response.Cookies коллекция.

Я сделал небольшое промежуточное ПО (источник, nuget), что делает именно то, что предназначено для размещения непосредственно над регистрацией промежуточного программного обеспечения cookie.

app.UseKentorOwinCookieSaver();

app.UseCookieAuthentication(new CookieAuthenticationOptions());

короче, менеджер файлов cookie .NET выиграет над менеджером файлов cookie OWIN и перезапишет файлы cookie, установленные на слое OWIN. Исправление заключается в использовании класс SystemWebCookieManager, предоставленный в качестве решения для проекта Katana здесь. Вам нужно использовать этот класс или один похожий на него, который будет заставить OWIN использовать диспетчер файлов cookie .NET, чтобы не было несоответствий:

public class SystemWebCookieManager : ICookieManager
{
    public string GetRequestCookie(IOwinContext context, string key)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }

        var webContext = context.Get<HttpContextBase>(typeof(HttpContextBase).FullName);
        var cookie = webContext.Request.Cookies[key];
        return cookie == null ? null : cookie.Value;
    }

    public void AppendResponseCookie(IOwinContext context, string key, string value, CookieOptions options)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }
        if (options == null)
        {
            throw new ArgumentNullException("options");
        }

        var webContext = context.Get<HttpContextBase>(typeof(HttpContextBase).FullName);

        bool domainHasValue = !string.IsNullOrEmpty(options.Domain);
        bool pathHasValue = !string.IsNullOrEmpty(options.Path);
        bool expiresHasValue = options.Expires.HasValue;

        var cookie = new HttpCookie(key, value);
        if (domainHasValue)
        {
            cookie.Domain = options.Domain;
        }
        if (pathHasValue)
        {
            cookie.Path = options.Path;
        }
        if (expiresHasValue)
        {
            cookie.Expires = options.Expires.Value;
        }
        if (options.Secure)
        {
            cookie.Secure = true;
        }
        if (options.HttpOnly)
        {
            cookie.HttpOnly = true;
        }

        webContext.Response.AppendCookie(cookie);
    }

    public void DeleteCookie(IOwinContext context, string key, CookieOptions options)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }
        if (options == null)
        {
            throw new ArgumentNullException("options");
        }

        AppendResponseCookie(
            context,
            key,
            string.Empty,
            new CookieOptions
            {
                Path = options.Path,
                Domain = options.Domain,
                Expires = new DateTime(1970, 1, 1, 0, 0, 0, DateTimeKind.Utc),
            });
    }
}

при запуске приложения просто назначьте его, когда вы создание зависимостей долг:

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    ...
    CookieManager = new SystemWebCookieManager()
    ...
});

аналогичный ответ был предоставлен здесь, но он не включает всю кодовую базу, необходимую для решения проблемы, поэтому я вижу необходимость добавить ее здесь, потому что внешняя ссылка на проект Katana может снизиться, и это должно быть полностью записано как решение здесь.

команда Катана ответила на вопрос Томас Долезар поднял, и отправил документация о обходных путях:

обходные пути делятся на две категории. Один из них-переконфигурировать Система.Веб, поэтому он избегает использования ответа.Коллекция печенья и перезапись печенья OWIN. Другой подход заключается в повторной настройке затронутые компоненты OWIN, поэтому они пишут файлы cookie непосредственно Система.Ответ веба.Коллекция печенья.

• убедитесь, что сеанс установлен до аутентификации: конфликт между системой.Веб и Катана куки-файлы по запросу, так что это может быть возможно для приложения установить сеанс по некоторому запросу до прохождения проверки подлинности. Это должно быть легко сделать, когда пользователь сначала прибывает, но это может быть сложнее гарантировать позже, когда сеансовые или аутентификационные куки истекают и / или должны быть обновлены.
• отключить SessionStateModule-если приложение не полагается на информацию о сеансе, но модуль сеанса все еще устанавливает cookie, который вызывает вышеуказанный конфликт, тогда вы можете рассмотреть возможность отключения модуль состояния сеанса.
• перенастроить CookieAuthenticationMiddleware для записи непосредственно в систему.Коллекция веб-файлов cookie.

app.UseCookieAuthentication(new CookieAuthenticationOptions
                                {
                                    // ...
                                    CookieManager = new SystemWebCookieManager()
                                });

смотрите реализацию SystemWebCookieManager из документации (ссылка выше)

больше информации здесь

Edit

ниже шаги, которые мы сделали, чтобы решить эту проблему. Как 1. и 2. решил проблему также отдельно, но мы решили применить оба на всякий случай:

1. Используйте SystemWebCookieManager

2. Установите переменную сеанса:

protected override void Initialize(RequestContext requestContext)
{
    base.Initialize(requestContext);

    // See http://stackoverflow.com/questions/20737578/asp-net-sessionid-owin-cookies-do-not-send-to-browser/
    requestContext.HttpContext.Session["FixEternalRedirectLoop"] = 1;
}

(Примечание стороны: метод инициализации выше является логическим местом для исправления, потому что база.Инициализация делает сеанс доступным. Однако исправление может также OpenID будет применяться позже, потому что в OpenId есть сначала анонимный запрос, а затем перенаправление к поставщику OpenId, а затем обратно в приложение. Проблемы будут возникать после перенаправления обратно в приложение, в то время как исправление устанавливает переменную сеанса уже во время первого анонимного запроса, тем самым устраняя проблему до того, как произойдет перенаправление назад)

Edit 2

копировать-вставить проект Катана 2016-05-14:

добавить это:

app.UseCookieAuthentication(new CookieAuthenticationOptions
                                {
                                    // ...
                                    CookieManager = new SystemWebCookieManager()
                                });

...а это:

public class SystemWebCookieManager : ICookieManager
{
    public string GetRequestCookie(IOwinContext context, string key)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }

        var webContext = context.Get<HttpContextBase>(typeof(HttpContextBase).FullName);
        var cookie = webContext.Request.Cookies[key];
        return cookie == null ? null : cookie.Value;
    }

    public void AppendResponseCookie(IOwinContext context, string key, string value, CookieOptions options)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }
        if (options == null)
        {
            throw new ArgumentNullException("options");
        }

        var webContext = context.Get<HttpContextBase>(typeof(HttpContextBase).FullName);

        bool domainHasValue = !string.IsNullOrEmpty(options.Domain);
        bool pathHasValue = !string.IsNullOrEmpty(options.Path);
        bool expiresHasValue = options.Expires.HasValue;

        var cookie = new HttpCookie(key, value);
        if (domainHasValue)
        {
            cookie.Domain = options.Domain;
        }
        if (pathHasValue)
        {
            cookie.Path = options.Path;
        }
        if (expiresHasValue)
        {
            cookie.Expires = options.Expires.Value;
        }
        if (options.Secure)
        {
            cookie.Secure = true;
        }
        if (options.HttpOnly)
        {
            cookie.HttpOnly = true;
        }

        webContext.Response.AppendCookie(cookie);
    }

    public void DeleteCookie(IOwinContext context, string key, CookieOptions options)
    {
        if (context == null)
        {
            throw new ArgumentNullException("context");
        }
        if (options == null)
        {
            throw new ArgumentNullException("options");
        }

        AppendResponseCookie(
            context,
            key,
            string.Empty,
            new CookieOptions
            {
                Path = options.Path,
                Domain = options.Domain,
                Expires = new DateTime(1970, 1, 1, 0, 0, 0, DateTimeKind.Utc),
            });
    }
}

ответы уже были предоставлены, но в owin 3.1.0 есть класс SystemWebChunkingCookieManager, который можно использовать.

https://github.com/aspnet/AspNetKatana/blob/dev/src/Microsoft.Owin.Host.SystemWeb/SystemWebChunkingCookieManager.cs

https://raw.githubusercontent.com/aspnet/AspNetKatana/c33569969e79afd9fb4ec2d6bdff877e376821b2/src/Microsoft.Owin.Host.SystemWeb/SystemWebChunkingCookieManager.cs

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    ...
    CookieManager = new SystemWebChunkingCookieManager()
    ...
});

если вы устанавливаете куки в OWIN middleware самостоятельно, то с помощью OnSendingHeaders Кажется, чтобы обойти эту проблему.

например, используя код ниже owinResponseCookie2 будет установлен, даже если owinResponseCookie1 нет:

private void SetCookies()
{
    var owinContext = HttpContext.GetOwinContext();
    var owinResponse = owinContext.Response;

    owinResponse.Cookies.Append("owinResponseCookie1", "value1");

    owinResponse.OnSendingHeaders(state =>
    {
        owinResponse.Cookies.Append("owinResponseCookie2", "value2");
    },
    null);

    var httpResponse = HttpContext.Response;
    httpResponse.Cookies.Remove("httpResponseCookie1");
}

самое быстрое однострочное кодовое решение:

HttpContext.Current.Session["RunSession"] = "1";

просто добавьте эту строку перед CreateIdentity метод:

HttpContext.Current.Session["RunSession"] = "1";
var userIdentity = userManager.CreateIdentity(user, DefaultAuthenticationTypes.ApplicationCookie);
_authenticationManager.SignIn(new AuthenticationProperties { IsPersistent = rememberLogin }, userIdentity);

у меня был тот же симптом заголовка Set-Cookie, который не был отправлен, но ни один из этих ответов не помог мне. Все работало на моей локальной машине, но при развертывании в производство заголовки set-cookie никогда не будут установлены.

оказывается, это была комбинация с использованием пользовательского CookieAuthenticationMiddleware с WebApi вместе с поддержка сжатия WebApi

к счастью, я использовал ELMAH в своем проекте, который позволил мне регистрировать это исключение: