ASP.NET 会话注销方案

Question

我正在开发一个基于 Web 的自动化应用程序（ASP.NET、VS2010、C#），用户登录、执行任务然后注销，今天我正在演示我的项目，我使用用户名执行了登录/password，然后我不得不描述一些功能，所以网站自己离开了超过 20 分钟（会话默认超时，当用户登录时，我为他创建一个会话，然后检查他的会话是否存在新页面将被打开），大约 30 分钟后，我尝试在站点中打开一个新页面，单击链接后如预期的那样，我的站点注销并显示了 default.aspx 页面（这是所需的过程） .我的客户询问原因，我告诉他们：没有！会话超时，我想他们理解我

在这种情况下有什么问题吗？我应该增加会话超时吗？有时我的用户可能需要在网站上停留超过几个小时，增加会话超时是否会带来安全风险？我怎样才能更好地执行整个操作？

谢谢

Answer 1

会话超时至少有两个充分的理由：
- 活动会话可能会占用您服务器上的资源
- 如果有人成功窃取了 session cookie，他可以使用 session 直到它关闭。