无效的会话cookie没有失效或被替换？

Question

在 ASP.NET 中，我遇到了一种奇怪的情况，每次用户代理刷新页面时都会触发 Session_Start 。由于会话应该已经启动，我无法理解为什么（这台机器）在每次点击页面时都会触发 Session_Start 。

浏览器发送 cookie 作为 HTTP 请求的一部分：

GET http://example.com/ HTTP/1.1
Accept: text/html, application/xhtml+xml, */*
Accept-Language: en-US
Accept-Encoding: gzip, deflate
...
Cookie: ASP.NET_SessionId=zsdntozy30cwvirc3lpnxh55

该 cookie 存在于 http request 标头中，但它导致创建新会话。但令人抓狂的是，新的 Cookie 并未发送到客户端（通过 Set-Cookie 响应标头）。

我假设如果会话cookieASP.NET_SessionId=zsdntozy30cwvirc3lpnxh55无效（例如由于应用程序池回收或Web服务器重新启动），则服务器应该设置一个新的cookie。

为了测试这个，我制作了一个特殊的http请求，带有明显无效的cookie：

GET http://example.com/ HTTP/1.1
Accept: text/html, application/xhtml+xml, */*
Accept-Language: en-US
Accept-Encoding: gzip, deflate
...
Cookie: ASP.NET_SessionId=aaaaaaaaaaaaaaaaaaaaaaaa

果然，Session_Start事件发生，并且http响应不包含Set-Cookie header：

HTTP/1.1 200 OK
Server: ASP.NET Development Server/10.0.0.0
Date: Thu, 24 Mar 2011 23:45:50 GMT
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 3710
Connection: Close

这是预期的行为吗？如果客户端的会话 cookie 不再有效，它们将被困在无人区，直到客户端浏览器确信销毁 cookie？

ASP.NET 是否可以选择将新会话 cookie 发送到客户端？毕竟，这是创建一个新会话 - 为什么不告诉客户呢？

如果服务器出现问题，用户必须删除所有 cookie，这是否是某种奇怪的安全功能？