如何在 http 和 https 之间共享 asp.net 会话

Question

我读到，在 https 连接下运行的页面无法与在常规 http 下运行的另一个页面（或相同的页面）共享 InProc 会话（基于 cookie）。 我的站点在 Server 2003、IIS 6 和 .Net 2.0 上运行。

经过一些实验后发现，通过 https 连接时在会话中存储数据的页面即使在纯 http 下运行，也可以随后访问数据。

那么，我是否有可能或者应该检查一下 SSL 配置中的缺陷？

Answer 1

来自 MSDN：

当用户来回移动时
在安全区域和公共区域之间，
ASP.NET 生成的会话 cookie（或
URL（如果您启用了 cookie-less）
会话状态）与他们一起移动
明文，但身份验证
cookie 永远不会被忽略
未加密的 HTTP 连接只要
设置了安全 cookie 属性。

因此，基本上，如果 Secure 属性设置为 false，则 cookie 可以通过 HTTP 和 HTTPS 传递。

我通过将其添加到我的 Global.asax 文件中避免了这个问题：

void Session_Start(object sender, EventArgs e) 
{
    if (Request.IsSecureConnection) Response.Cookies["ASP.NET_SessionID"].Secure = false;
}

这意味着如果会话 cookie 是通过 HTTP 创建的，则只能通过 HTTPS 访问它。

Answer 2

IIS 设置
在 IIS 属性窗口中，ASP 选项卡下 –> 会话属性，有一个“安全连接上的新 ID”设置，

我自己通过将其设置为 false 解决了这个间歇性问题。

Answer 3

到目前为止，搜索问题并没有引起太多讨论，仍在寻找。

编辑：现在可以找到一些东西了。

是的，如果两组页面位于同一个应用程序/网站中，它似乎可以正常工作。

所以我会继续前进，感到放心。

Answer 4

如果上述任何解决方案不起作用，请尝试此方法。 经过几天的研究，我已经解决了这个问题。

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    ...
    ...
    CookieSecure = CookieSecureOption.Never
});