cookie不会在服务器上滑动,但在本地运行时会滑动。

我有一个具有ASP.NET标识的Identity Server 4应用程序。我把饼干准备好滑动。

services.ConfigureApplicationCookie(opts =>
                        {
                            opts.Cookie.Expiration = TimeSpan.FromDays(30);
                            opts.SessionStore = new RedisCacheTicketStore(new RedisCacheOptions()
                            {
                                Configuration = configuration["Redis:HostPort"]
                            }, logger, configuration);
                            opts.Cookie.SameSite = SameSiteMode.None;
                            opts.SlidingExpiration = true;
                            opts.ExpireTimeSpan = TimeSpan.FromDays(30);
                        }
                    );

不滑动

localhost:当用户登录时 .AspNetCore.Idenitty.Application 获取过期时间。当刷新页面时,过期时间被更新,我可以看到时间戳的更改。

生产:但是,如果我在服务器上检查它,那么用户登录和。 AspNetCore.Idenitty.Application 获取具有登录时间戳的过期时间。但是,刷新页面时,时间戳不会更改。它与用户登录时保持不变。

用户在30分钟后退出

生产:第二个问题是,正如您所看到的,过期时间是提前一个月设置的,但是在服务器上30分钟后,该用户将被踢出并强制再次登录。我不能让用户登录超过30分钟,即使他们是活跃的。

安全印章

我已经检查了用户安全戳没有更改,令牌包含 "AspNet.Identity.SecurityStamp": "[users actual key]"

更新

因此,经过一些挖掘,我最终决定重新进行安全戳验证。我在我的ApplicationSignInManager中通过使用以下方法来实现这一点

 public override async Task<ApplicationUser> ValidateSecurityStampAsync(ClaimsPrincipal principal)
        {
            if (principal == null)
            {
                Logger.LogError(LoggingEvents.ApplicationSignInManagerSecurityTokenValidation, "ClaimsPrincipal is null");
                return null;
            }
            var user = await UserManager.GetUserAsync(principal);
            if (await ValidateSecurityStampAsync(user, principal.FindFirstValue(Options.ClaimsIdentity.SecurityStampClaimType)))
            {
                return user;
            }

            if(user == null)
                Logger.LogError(LoggingEvents.ApplicationSignInManagerSecurityTokenValidation, "User not found [principal {principal}]", principal);

            var principalSecurityStamp = principal.FindFirstValue(Options.ClaimsIdentity.SecurityStampClaimType);  // Security stamp from claims
            var userManagerSecurityStamp = user.SecurityStamp;                                                     // Security Stamp from usermanager
            var getSecurityStampAsyncResults = await UserManager.GetSecurityStampAsync(user);                      // Security stamp from GetSecurityStampAsync
            Logger.LogError(LoggingEvents.ApplicationSignInManagerSecurityTokenValidation,
                "Security stamp Validation Failed: [principalSecurityStamp {principalSecurityStamp}] != [getSecurityStampAsyncResults {getSecurityStampAsyncResults}] also ([userManagerSecurityStamp {userManagerSecurityStamp}] )", principalSecurityStamp, getSecurityStampAsyncResults, userManagerSecurityStamp);

            return null;
        }

        public virtual async Task<bool> ValidateSecurityStampAsync(ApplicationUser user, string securityStamp)
            => user != null &&
               // Only validate the security stamp if the store supports it
               (!UserManager.SupportsUserSecurityStamp || securityStamp == await UserManager.GetSecurityStampAsync(user));

这导致一些非常有趣的信息立即出现在我的日志中。

安全戳验证失败:【PrincipalSecurityStamp(空)】!=[GetSecuritySampasyncResults 83270B3F-A042-4A8F-B090-F5E1A084074E]还([UserManagerSecurityStamp 83270B3F-A042-4A8F-B090-F5E1A084074E])

所以 principal.FindFirstValue(Options.ClaimsIdentity.SecurityStampClaimType) 似乎为空。为什么我不知道。我也不知道如何修复它,因为有许多第三方应用程序调用这个身份服务器。

更新2:

我现在可以验证generateclaimsasync是否设置了securitySampleClaim。然而,validateAsync中的cookievalidatePrincipalContext不包含有问题的声明,正如对该方法的评论所说,这很奇怪。

/// <param name="context">The context containing the <see cref="System.Security.Claims.ClaimsPrincipal"/>