c# - 避免在 Asp.NET Core 2.2 + IdentityServer 中使用 session cookie

Question

我一直在使用 Asp.NET Core 2.2 和 Identity，使用示例解释 here .特别是我正在使用 StsServer 应用程序，它允许用户使用 OpenID 混合流或 Windows 身份验证进行身份验证。

我看到的是它存储:

• 3 个 session cookie(如果不记得用户身份)
• 2 个 session cookie + 1 个 cookie(如果在重新打开浏览器时记住用户身份)

有没有办法避免此类 cookie？

谢谢，

Answer 1

.AspNetCore.AntiForgergy cookie 不是 session cookie。这是针对 CSRF 的。 .AspNetCore.Identity cookie 也不是 session cookie。在使用由 ASP.NET Core Identity 支持的身份和身份服务器时，是 auth cookie 会保留用户的身份验证状态。最后，idsrv.session cookie 来自 Identity Server，用于 OIDC session 管理，这不是您可能认为的“ session ”。它还用于支持维护经过身份验证的状态。

无论长短，它们都有特定的用途，您需要所有这些。