s

2026-09-07 15:47:20 +08:00
parent 6d5df72d2f
commit f711f1c5e5
2 changed files with 6 additions and 33 deletions
@@ -44,7 +44,12 @@ namespace YhCore.WebApi.Auth
                    var auth = configuration.GetSection(YhAuthOptions.SectionName).Get<YhAuthOptions>() ?? new YhAuthOptions();
                    options.Cookie.Name = auth.CookieName;
                    options.Cookie.HttpOnly = true;
-                    options.Cookie.SameSite = Microsoft.AspNetCore.Http.SameSiteMode.None;
+                    // SameSite=Lax：登录/回调全部是顶层导航，Lax 足够。
+                    // 【勿改 None】HTTP 部署下无 Secure 属性的 SameSite=None Cookie 会被浏览器直接丢弃
+                    // （Chrome/Edge 强制 None 必须 Secure），导致登录 Cookie 永远种不上 → 无限重定向循环
+                    // （2026-09-07 线上复现：验票成功但下一请求无 Cookie → ERR_TOO_MANY_REDIRECTS）。
+                    // 跨 host 登录态需求由 DebugUser 头方案解决（见 docs/本地前端联调线上后端SSO方案.md）。
+                    options.Cookie.SameSite = Microsoft.AspNetCore.Http.SameSiteMode.Lax;
                    // 会话票据：TicketDataFormat 把票据存服务端，Cookie 只写 32 位 key；
                    // IsPersistent=false（CasAuthenticationHandler）会话 Cookie，关闭浏览器即失效；
                    // SlidingExpiration=false 固定过期，不滑动续期。