IIS 7 中的会话超时如何工作？

Question

在 web.config 中，我将 sessionState 中的超时设置为 20 分钟。根据 MSDN，此超时指定会话在被放弃之前可以空闲的分钟数。在 IIS 7 中，DefaultWebSite->Session State->Cookie Settings->Time Out 会自动填充 web.config 中设置的超时值，在我的例子中为 20 分钟。另外，应用程序池->DefaultAppPool->高级设置->idleTimeout，我设置为10分钟。

然后我做了两个测试： 第一次测试：我在下午 3:45 登录我的网络应用程序，空闲了 10 分钟。下午 3:55，我尝试使用我的应用程序，但被踢出了。我认为idleTimeout发挥了作用。

第二次测试：我在下午 4:00 登录我的网络应用程序，并在下午 4:05、4:10、4:15 和 4:20 玩该应用程序。我预计下午 4:20 就会被赶出去。但我不是。我认为 IIS 7 中的会话状态超时（20 分钟）是 Web 代理要求用户重新进行身份验证之前用户会话可以处于活动状态的最长时间。从这次测试来看，显然不是。谁能向我解释一下吗？另外，我如何设置上述情况的超时？

Answer 1

会话超时是一种滑动超时，用户每次访问服务器时都会将其重置为配置的值。

如果在一段时间内没有向您的应用程序发出任何请求，则应用程序空闲超时将启动。

因此，通常的场景是：

	用户 A	用户 B	会话状态
12:00	访问 Page1		A：新会话，超时：20 分钟
12:02	访问 Page2		A：超时重置：20 分钟
12:10		访问第 1 页	A：超时：12 分钟； B：新：20 分钟
12:15		访问第2页	A：超时：07分钟； B：超时：20 分钟
12:22			A：超时； B：还剩 13 分钟
12:32			应用程序关闭（达到空闲时间）
12:35	访问第 3 页		A：新会话开始

如果用户 A 在 12:22 之后返回站点，他们将拥有一个全新的会话，并且您可以设置任何值以前存储在那里的将会丢失。

确保会话在应用程序重新启动后持续存在的唯一方法是配置 SessionState 服务或 SQL 会话状态，并确保您已 配置 machine.key，以便每次服务器重新启动时不会自动生成。

如果您使用标准 ASP.NET 机制进行身份验证，则 ASP.NET 将向每个用户发出两个 cookie：

1. 身份验证令牌：由 身份验证超时设置，允许用户在 cookie 尚未过期的情况下自动登录到您的网站，这是可以修复的或滑动，默认为 30 分钟，这意味着他们的身份验证令牌可以处理比会话更长的“空闲”时间。
2. 会话令牌：由会话超时设置控制，允许您的应用程序在访问生命周期内存储和访问每个用户的值。

这两个 cookie 均使用 MachineKey 进行加密 - 因此，如果您的应用程序回收并生成新密钥，则这些令牌都无法解密，从而需要用户登录并创建新会话。

---

回复评论：

1. 20 分钟会话超时与您放置在用户会话对象中的项目相关 (HttpSessionState) 使用 Session.Add(string, object) 方法。
2. 这要看情况。如果您已正确配置 machine.key，身份验证令牌仍然有效，并且如果您的会话不再是“InProc”，这些令牌也将在应用程序重新启动后持续存在，并且仍然可读 - 请参阅上面的注释。