Session.Abandon() 不会立即放弃会话

Question

在我的 ASP.NET Web 应用程序中，我在 Page_Load() 中调用 Session.Abandon()。我希望这会立即放弃会话，并且下次我引用 HttpContext.Current.Session 时应该创建一个新会话。但是，在 Global.asax 中的 Session_End 和 Session_Start 处理程序上放置断点表明，在页面完成呈现之前不会调用这些处理程序。

所以有两个问题：

1）为什么？

2）一旦调用 Session.Abandon() ，如何在页面生命周期内继续使用 HttpContext.Current.Session 。

提前致谢！

Answer 1

http://msdn.microsoft.com/en- us/library/ms524310(v=vs.90).aspx

查看链接页面上的备注部分。
看起来会话对象只是排队等待删除，直到代码运行完毕才被删除。

Answer 2

这是我的解决方案：

private void PurgeSession()
{
    try
    {
        Session.Clear();
    }
    catch (Exception) {  }

    try
    {
        Session.Abandon();
    }
    catch (Exception) {  }

    try
    {
        Session.RemoveAll();
    }
    catch (Exception) {  }

    try
    {
        Response.Cookies.Add(new HttpCookie("ASP.NET_SessionId") 
                                {Expires = DateTime.Now.AddYears(-1)});
    }
    catch (Exception) {  }
}

这实际上是轨道轰炸选项。

一些信息来源于： http://www.dotnetfunda.com/articles/article1395-how-to-avoid-the-session-fixation-vulnerability-in-aspnet-.aspx

Answer 3

Session.Abandon() 实际上会等待页面呈现。