Session改变或无效时，HttpCookie不会被删除

Question

我正在创建一个 HttpCookie，仅设置名称和值，而不设置过期属性，然后将其添加到响应中。够简单的。 cookie 按预期创建（但未保留）。问题是，当会话由于某种原因发生变化时（比如网站被重建，或者我在调试时重建了我的应用程序），那么 cookie 就会保留下来。我希望 cookie 仅对创建它的原始会话有效。

根据 MSDN 的说法：“如果您没有为 cookie 指定过期限制，则 cookie 不会保留到客户端计算机，并且会在用户会话过期时过期。”

我想我不知道“会话过期”到底包含什么。我认为 20 分钟后会话到期时 cookie 就会被删除。但是，如果创建 cookie 的会话由于多种原因不再存在，是否应该删除 cookie？我唯一一次看到 cookie 被删除是当用户关闭所有浏览器窗口并打开一个新窗口时。

如果这一切都是真的，我可能必须将原始会话 ID（“ASP.NET_SessionId”）存储在 cookie 中，然后对照当前会话 id 检查它，如果它们不同，则删除 cookie 或创建一个新的 cookie 。

下面是代码（我的 cookie 与 MSDN 示例中的 cookie 之间的唯一区别是我在 cookie 中存储了多个值）：

private void SaveValuesToCookie(string[] names, string[] values)
{
    HttpCookie cookie = new HttpCookie("MyCookie");

    for (int i = 0; i < names.Length; i++)
    {
        string name = names[i];
        cookie.Values[name] = values[i];
    }
    Response.Cookies.Add(cookie);
}

private string GetValueFromCookie(string name)
{
    HttpCookie cookie = Request.Cookies["MyCookie"];
    if (cookie == null)
        return null;

    return cookie.Values[name];
}

Answer 1

我唯一一次看到 cookie 被获取
删除是当用户关闭所有
浏览器窗口并打开一个新窗口。

这正是 MSDN 的意思，它说会话过期时 cookie 将被删除。不幸的是，我相信这在浏览器之间并不一致，所以它对任何人都没有多大用处。

您应该始终为 Cookie 设置到期日期。

如果这一切都是真的，我可能不得不
存储原始会话ID
(“ASP.NET_SessionId”) 在 cookie 中，
然后根据当前情况进行检查
会话ID，如果它们不同，那么
删除 cookie 或创建一个新的 cookie。

我不想这么说，但这也不会帮助你。 .NET Framework 喜欢回收会话 ID，因此您不能保证它会有所不同。

坏消息是，我建议您从架构的角度重新考虑您想要做什么。

重新启动应用程序完全发生在服务器上； cookie 完全发生在客户端。虽然客户端将与服务器通信，但这纯粹是请求/响应关系，服务器无法向浏览器传达应用程序重新启动等事件。

如果您想在某处存储一个仅在服务器会话生命周期内有效的值，为什么不将其存储在 Session 中而不是存储在 Cookie 中呢？

Answer 2

我知道这一切，但它对于我们客户的需求来说还不够安全。会话仍然可能被欺骗或注入。请参阅：http://msdn.microsoft.com/en-us/ magazine/cc163730.aspx#S9

看起来我只能在会话之外创建一个过期的安全 cookie，并在可以时刷新过期日期（即当用户访问某些页面时）。