当浏览器或选项卡关闭时终止 Asp.Net 会话

Question

我正在使用 Asp.Net 4 的表单身份验证。当用户单击注销链接时，我清除会话并调用 FormsAuthentication.SignOut() ，这会阻止用户返回到网站无需再次登录。

现在我想在浏览器或选项卡关闭时终止会话。我尝试通过处理 onbeforeunload 事件来执行此操作，但在单击任何内部链接后我最终终止了会话。

我有什么想法可以做到这一点吗？

Answer 1

你不能，但你可以

Answer 2

身份验证 Cookie仅限会话，这意味着浏览器关闭时会被浏览器删除。也许您没有关闭所有浏览器选项卡，但如果您关闭它们，所有身份验证 cookie 都会丢失。

关于关闭选项卡，您不知道用户是否打开了其他选项卡。

一种可能的解决方案可能是每 10 秒调用一次回服务器以保持此身份验证处于活动状态，并将身份验证设置为在 20 秒后结束。因此，如果没有任何信号返回，则用户已经离开。这可以使用 JavaScript 来完成。另一方面，这不能让用户在几分钟不活动后注销，因此您可能需要将此逻辑与其他逻辑结合起来。

Answer 3

您能做的最好的事情就是当您的用户明确注销时也调用 Session.Abandon() 来删除该用户的会话。但正如其他人所说，如果不以这种方式注销，就无法知道选项卡/窗口是否只是关闭。会话将一直保留在服务器上直到过期。

Answer 4

我回答了另一个问题，当用户在实时站点上编辑 web.config 时，会话会被终止。他们正在跟踪仍在使用会话变量登录的用户（危险）。但提出了一个可以帮助这里的人的解决方案（未经测试的解决方案）。

FormsAuthentication 允许您无限期地保持一个人处于活动状态并登录。但如果他们变得不活动（例如 20 分钟），他们就会被注销，这很好。但要让他们在关闭浏览器时注销是不可能的（等待...），因为将超时值设置为 0 会导致他们不断登录然后再次注销。

所以解决方案：当您使用 FormsAuthentication 登录某人时，您还可以设置一个标准会话变量 cookie，当他们关闭浏览器时该变量将被删除。该 cookie 包含非识别性的非帐户相关信息。只是一个简单的“登录：是”。

现在，您的母版页/母版布局上需要的所有代码都是页面周期或页面周期构造函数（甚至自定义属性）中的高级调用，它将检查 cookie 和用户身份：

if(!HasLoginCookie() || !System.Web.HttpContext.Current.User.Identity.IsAuthenticated)
{
   // redirect user to log in page.
}

基本上，如果 cookie 是当浏览器关闭时删除，您会将用户重定向到登录页面。

希望这会有所帮助（并且有效。正如我所说，未经测试）。