ASP.NET Core中的Cookie策略是什么？如何设置？

Startup.cs

Program.cs

AddCookiePolicy

UseCookiePolicy

ConfigureServices

Program.cs

builder.Services

public void ConfigureServices(IServiceCollection services)
{
    // ... 其他服务配置，例如 AddControllersWithViews()

    services.Configure<CookiePolicyOptions>(options =>
    {
        // CheckConsentNeeded：一个委托，用于判断是否需要用户同意才能设置非必要的Cookie。
        // 当设为true时，若用户未同意，非必要的Cookie将不会被发送。
        // 这通常用于GDPR等法规，要求用户明确同意才能设置非必要的Cookie。
        options.CheckConsentNeeded = context => true; // 默认是false，设为true表示需要用户同意

        // MinimumSameSitePolicy：设置Cookie的SameSite属性的最低要求。
        // SameSiteMode.Lax 是一个常见的折衷方案，提供了一定的CSRF保护。
        options.MinimumSameSitePolicy = SameSiteMode.Lax;

        // HttpOnly：强制所有Cookie都设置为HttpOnly。
        // HttpOnlyPolicy.Always 表示强制所有Cookie都带有HttpOnly标志，防止客户端脚本访问。
        options.HttpOnly = HttpOnlyPolicy.Always; 

        // Secure：强制所有Cookie都设置为Secure。
        // CookieSecurePolicy.Always 表示强制所有Cookie都通过HTTPS发送。
        options.Secure = CookieSecurePolicy.Always; 

        // OnAppendCookie：可以在Cookie被追加到响应时进行拦截和修改。
        options.OnAppendCookie = context =>
        {
            // 示例：如果Cookie名称是"MyCustomCookie"，强制其过期时间为7天后
            if (context.CookieName == "MyCustomCookie")
            {
                context.CookieOptions.Expires = DateTimeOffset.UtcNow.AddDays(7);
            }
            // 还可以根据需要添加其他逻辑，例如记录或修改其他Cookie属性
        };

        // OnDeleteCookie：可以在Cookie被删除时进行拦截。
        options.OnDeleteCookie = context =>
        {
            // 可以在这里记录或执行其他操作，例如审计Cookie删除行为
            Console.WriteLine($"Cookie '{context.CookieName}' is being deleted.");
        };
    });

    // ...
}

Configure

Program.cs

app

UseCookiePolicy()

UseStaticFiles()

UseAuthentication()

UseSession()

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ... 其他中间件配置，例如 UseExceptionHandler(), UseHsts()

    // 确保在需要处理Cookie的中间件之前调用 UseCookiePolicy()
    app.UseCookiePolicy(); // 启用Cookie策略中间件

    // app.UseAuthentication(); // 认证中间件，可能会设置认证Cookie
    // app.UseSession(); // Session中间件，会设置Session Cookie
    // app.UseAuthorization(); // 授权中间件

    // ...
}

CookiePolicyOptions

CheckConsentNeeded

MinimumSameSitePolicy

Lax

Strict

HttpOnly

Secure

CookiePolicyOptions