我应该在 LogOff 方法中使用 Session.Abandon() 吗？

Question

我正在使用的技术：

• MVC v2
• 表单身份验证（滑动到期）
• 会话状态服务器
• 自定义授权属性

我正在为我的 mvc 应用程序使用状态服务器进程。在测试过程中，当经过身份验证的用户单击“注销”按钮时，它会正确地将他们带到身份验证屏幕，并在成功输入凭据后将他们重新登录。但是，它会找到他们之前的会话变量状态，而不是重新加载我授予他们的任何新权限。这是由于我在以下代码中加载用户的方式所致：

public override void OnAuthorization(AuthorizationContext filterContext) {

        if (filterContext == null)
            throw new ArgumentNullException("FilterContext");

        if (AuthorizeCore(filterContext.HttpContext)) {
            IUser customUser = filterContext.HttpContext.Session["CustomUser"] as IUser;

            if ((customUser == null) || (customUser.Name != filterContext.HttpContext.User.Identity.Name)) {
                customUser = new User(filterContext.HttpContext.User.Identity.Name,
                                      filterContext.HttpContext.User.Identity.IsAuthenticated);
            }

            if (_privileges.Length > 0) {
                if (!customUser.HasAtLeastOnePrivilege(_privileges))
                    filterContext.Result = new ViewResult { ViewName = "AccessDenied" };
            }

            filterContext.HttpContext.Session["CustomUser"] = customUser;
        }
    }

因此，您可以看到我将我的 customUser 存储在 Session 中，该值就是原来的值从上一个会话中获取，即使用户已在之间注销（但在滑动过期窗口内重新登录。

所以，我的问题是，我应该在我的会话中放置一个简单的 Session.Abandon() 调用吗？ AccountController 中的 LogOff 方法，或者是否有更干净、更有利的方法来处理这个问题？

Answer 1

通常 Session.Clear() 应该足够了，可以删除会话中存储的所有值。 Session.Abandon() 结束当前会话。它还可能会触发 Session_End，而下一个请求将触发 Session_Start。