ASP.NET：Session.SessionID 在请求之间发生变化

Question

为什么 ASP.NET 页面中 Session 对象的属性 SessionID 在请求之间会发生变化？

我有一个这样的页面：

...
<div>
    SessionID: <%= SessionID %>
</div>
...

每次我按 F5 时，输出都会不断变化，与浏览器无关。

Answer 1

这就是原因

当使用基于 cookie 的会话状态时，ASP.NET 在使用 Session 对象之前不会为会话数据分配存储空间。结果，为每个页面请求生成一个新的会话ID，直到访问会话对象。如果您的应用程序需要整个会话的静态会话 ID，您可以在应用程序的 Global.asax 文件中实现 Session_Start 方法，并将数据存储在 Session 对象中来修复会话 ID，也可以使用应用程序其他部分中的代码。应用程序将数据显式存储在 Session 对象中。

http://msdn.microsoft.com/en -us/library/system.web.sessionstate.httpsessionstate.sessionid.aspx

所以基本上，除非您在后端访问会话对象，否则每个请求都会生成一个新的 sessionId

编辑

必须将此代码添加到文件 Global.asax 中。它向 Session 对象添加一个条目，以便您修复会话直至其过期。

protected void Session_Start(Object sender, EventArgs e) 
{
    Session["init"] = 0;
}

Answer 2

还有另一个更隐蔽的原因，即为什么即使 Session 对象已初始化（如 Cladudio 所示），也可能会发生这种情况。

在 Web.config 中，如果有一个 条目设置为 requireSSL="true" 但您实际上并未针对特定请求使用 HTTPS： ，那么会话 cookie 不会发送（或者可能不会返回，我不确定是哪一个），这意味着您最终会为每个请求提供一个全新的会话。

我发现这个问题很困难，花了几个小时在源代码管理中的几次提交之间来回，直到我发现是什么特定的更改破坏了我的应用程序。

Answer 3

就我而言，我发现会话 cookie 有一个包含 www. 前缀的域，而我请求的页面没有 www.。
将 www. 添加到 URL 立即解决了问题。后来我将 cookie 的域更改为 .mysite.com 而不是 www.mysite.com。

Answer 4

我的问题是我们在 web.config

中设置了此设置，这意味着在非 SSL（默认）中调试时， auth cookie 不会被发送回服务器。这意味着服务器将为每个请求发送一个新的身份验证 cookie（带有新会话）回客户端。

修复方法是在 web.config 中将 requiresl 设置为 false，在 web.release.config 中将 requiresl 设置为 true，或者在调试时打开 SSL：

Answer 5

使用 Neville 的答案（在 web.config 中删除 requireSSL = true）并稍微修改 Joel Etherton 的代码，这里的代码应该处理在 SSL 模式和非 SSL 模式下运行的站点，具体取决于用户和页面（我正在跳回代码，还没有在 SSL 上测试它，但预计它应该可以工作 - 稍后会太忙而无法回到这里，所以这里是：

if (HttpContext.Current.Response.Cookies.Count > 0)
        {
            foreach (string s in HttpContext.Current.Response.Cookies.AllKeys)
            {
                if (s == FormsAuthentication.FormsCookieName || s.ToLower() == "asp.net_sessionid")
                {
                    HttpContext.Current.Response.Cookies[s].Secure = HttpContext.Current.Request.IsSecureConnection;
                }
            }
        }

Answer 6

就我而言，这是因为我在从外部应用程序中的网关重定向后修改会话，所以因为我在该页面 URL 中使用 IP 而不是本地主机，所以它实际上被认为是具有不同会话的不同网站。

总之

如果您在 IIS 而不是 IIS Express 上调试托管应用程序并混合您的计算机，请多加注意 http://Ip和 http://localhost 在各个页面

Answer 7

即使定义了 Session_OnStart 和/或初始化了会话，导致 SessionID 在请求之间发生更改的另一种可能性是 URL 主机名包含无效字符（例如下划线）。我相信这是 IE 特定的（未验证），但如果您的 URL 是，例如，http://server_name/app，那么 IE 将阻止所有 cookie，并且您的会话信息将无法在请求之间访问。

事实上，每个请求都会在服务器上启动一个单独的会话，因此如果您的页面包含多个图像、脚本标记等，那么每个 GET 请求都会在服务器上产生不同的会话。

更多信息：http://support.microsoft.com/kb/316112

Answer 8

我的问题与 Microsoft MediaRoom IPTV 应用程序有关。结果发现MPF MRML应用程序不支持cookie；更改为在 web.config 中使用 cookieless 会话解决了我的问题

<sessionState cookieless="true"  />

这是一篇关于它的非常旧的文章：
无 Cookie ASP.NET

Answer 9

就我而言，这种情况在我的开发和测试环境中经常发生。在尝试了上述所有解决方案但没有成功后，我发现可以通过删除所有会话 cookie 来解决此问题。 Web 开发人员扩展使这一切变得非常容易。我主要使用 Firefox 进行测试和开发，但在 Chrome 中测试时也发生过这种情况。该修复在 Chrome 中也有效。

我还没有在生产环境中这样做，也没有收到任何关于人们无法登录的报告。这似乎也只有在确保会话 cookie 安全后才会发生。过去当他们不安全的时候从来没有发生过这种情况。

更新：这只是在我们更改会话 cookie 以确保其安全之后才开始发生。我已确定确切的问题是由浏览器中存在两个或多个具有相同路径和域的会话 cookie 引起的。始终存在问题的就是具有空值或 null 值的值。删除该特定 cookie 后，问题得到解决。我还在 Global.asax.cs Sessin_Start 方法中添加了代码来检查此空 cookie，如果是，则将其过期日期设置为过去的日期。

HttpCookieCollection cookies = Response.Cookies;
for (int i = 0; i < cookies.Count; i++)
{
    HttpCookie cookie = cookies.Get(i);

    if (cookie != null)
    {
        if ((cookie.Name == "ASP.NET_SessionId" || cookie.Name == "ASP.NET_SessionID") && String.IsNullOrEmpty(cookie.Value))
        {
            //Try resetting the expiration date of the session cookie to something in the past and/or deleting it.
            //Reset the expiration time of the cookie to one hour, one minute and one second in the past
            if (Response.Cookies[cookie.Name] != null)
                Response.Cookies[cookie.Name].Expires = DateTime.Today.Subtract(new TimeSpan(1, 1, 1));
        }
    }
}

Answer 10

从 .NET 4.7.2 开始，这种情况发生了变化，这是由于会话 cookie 上的 SameSite 属性造成的。有关详细信息，请参阅此处： https://devblogs.microsoft.com/aspnet/upcoming-samesite-cookie-changes-in-asp-net-and-asp-net-core/

默认值更改为“Lax”并且开始破坏东西。我将其更改为“无”，事情按预期进行。

Answer 11

确保您没有设置非常短的会话超时，并确保如果您使用基于 cookie 的会话，则您正在接受该会话。

FireFox webDeveloperToolbar 在这种情况下会很有帮助，因为您可以看到为您的应用程序设置的 cookie。

Answer 12

会话ID重置可能有多种原因。然而，上面提到的任何内容都与我的问题无关。所以我将描述它以供将来参考。

就我而言，每个请求创建的新会话会导致无限重定向循环。重定向操作发生在 OnActionExecuting 事件中。

另外，我一直在清除所有 http 标头（也在使用 Response.ClearHeaders 方法的 OnActionExecuting 事件中），以防止在客户端缓存站点。但该方法会清除所有标头，包括有关用户会话的信息，从而清除临时存储中的所有数据（我稍后在程序中使用）。因此，即使在 Session_Start 事件中设置新会话也没有帮助。

为了解决我的问题，我确保在发生重定向时不删除标头。

希望它能帮助某人。

Answer 13

我以不同的方式遇到了这个问题。具有此属性的控制器[SessionState(SessionStateBehavior.ReadOnly)]正在从不同的会话中读取数据，即使我在应用程序启动时在原始会话中设置了一个值。我通过 _layout.cshtml 添加会话值（也许不是最好的主意？）

显然是 ReadOnly 导致了问题，因为当我删除该属性时，原始会话（和 SessionId）将保持不变。使用克劳迪奥/微软的解决方案修复了它。

Answer 14

我使用的是 .NET Core 2.1，我很清楚问题与 Core 无关。然而，由于缺乏互联网，谷歌把我带到了这里，希望能为某人节省几个小时。

---

Startup.cs

services.AddCors(o => o.AddPolicy("AllowAll", builder =>
            {
                builder
                    .WithOrigins("http://localhost:3000")     // important
                    .AllowCredentials()                       // important
                    .AllowAnyMethod()
                    .AllowAnyHeader();       // obviously just for testing
            }));

client.js

const resp = await fetch("https://localhost:5001/api/user", {
            method: 'POST',
            credentials: 'include',                           // important
            headers: {
                'Content-Type': 'application/json'
            },
            body: JSON.stringify(data)
        })

Controllers/LoginController.cs

namespace WebServer.Controllers
{
    [Route("api/[controller]")]
    [ApiController]
    public class UserController : ControllerBase
    {
        [HttpPost]
        public IEnumerable<string> Post([FromBody]LoginForm lf)
        {
            string prevUsername = HttpContext.Session.GetString("username");
            Console.WriteLine("Previous username: " + prevUsername);

            HttpContext.Session.SetString("username", lf.username);

            return new string[] { lf.username, lf.password };
        }
    }
}

请注意，会话写入和读取工作正常，但似乎没有将 cookie 传递给浏览器。至少我在任何地方都找不到“Set-Cookie”标头。