使用 SignalR 和传输模式长轮询时，Asp.net 会话永不过期

Question

我们有一个使用 SignalR 作为通知机制的网络应用程序。问题是当我们使用 IE 浏览我们的网络应用程序时，SignalR 使用长轮询作为其传输类型，因此将请求发送回我们的网络服务器，因此会话永不过期不管浏览器空闲多长时间。

我们在想也许我们可以在 Global.asax 中捕获请求并查看它们是否来自 SingalR 并将会话超时设置为剩余时间（我认为这不是一个简单的解决方案）。

我们还缺少其他解决方案吗？

Answer 1

我在这里发布@Simon Mourier 的评论解决方案，his approval，作为 CW 答案，因为我发现建议的方法最合适且侵入性较小，因为它只是禁用了 SignalR 请求的会话。

一个积极的副作用是请求将被更快地处理，因为不需要启动和加载 Session 对象。

它仍然使用 IHttpModule 进行工作，并且更可取的位置可能是 AcquireRequestState 事件（虽然尚未经过个人测试），或者在使用 Session 对象之前引发的事件。

请注意，使用这种方法可能需要测试 Session 对象是否可用，然后才能访问其任何成员或存储的对象。

public class SignalRSessionBypassModule : IHttpModule
{
    public void Init(HttpApplication application)
    {
        application.AcquireRequestState += OnAcquireRequestState;
    }

    private bool IsSignalrRequest(string path)
    {
        return path.IndexOf("/signalr/", StringComparison.OrdinalIgnoreCase) > -1;
    }

    protected void AcquireRequestState(object sender, EventArgs e)
    {
        var httpContext = ((HttpApplication)sender).Context;
        if (IsSignalrRequest(httpContext.Request.Path))
        {
            // Run request with Session disabled
            httpContext.SetSessionStateBehavior(System.Web.SessionState.SessionStateBehavior.Disabled);
        }
    }

    public void Dispose()
    {
    }
}

---

这是另一种完全不同的方法，简单但非常有效。

不要依赖 Session/Auth cookie 来决定用户是否超时，而是使用 Cache 对象。这或多或少没有副作用，就像用户直接注销一样。

只需在 Web 应用程序代码开头的某处添加这个小 sn-p，当然 SignalR 不去的地方，您将能够检查缓存项是否存在并重新启动它（具有相同的到期时间会话超时设置的时间），如果没有，只需注销并删除 cookie/会话变量。

if (Request.IsAuthenticated) {

  if (Cache[Context.User.Identity.Name] == null) {

    // Call you logout method here...,
    // or just:
    // - Sign out from auth;
    // - Delete auth cookie
    // - Remove all session vars

  } else {

    // Reinitiate the cache item
    Cache.Insert(Context.User.Identity.Name,
                 "a to you usable value",
                 null,
                 DateTime.Now.AddMinutes(Session.Timeout),
                 Cache.NoSlidingExpiration,
                 CacheItemPriority.Default,
                 null
                );
}

在您的用户登录方法中，您只需添加它，即可首次创建缓存项

// Insert the cache item
Cache.Insert(Context.User.Identity.Name,
             "a to you usable value",
             null,
             DateTime.Now.AddMinutes(Session.Timeout),
             Cache.NoSlidingExpiration,
             CacheItemPriority.Default,
             null
            );

Answer 2

在我看来，拥有自己的“像超时一样的会话”更加稳定和可维护。将您的 .NET 会话超时设置为无穷大，因为您不会使用它，然后创建一个全局 JavaScript 计数器（在您的布局或母版页中）以跟踪浏览器空闲时经过的时间（显然是 setTimeout 或 setInterval每隔几秒钟就可以解决问题）。确保在每个 Web 请求上都重置计数器（这应该会自动发生，因为所有 JavaScript 变量都会重置）。如果您的页面依赖于 Web 服务或 Web API，请确保在每次调用时重置您的全局 JavaScript 计数器。如果计数器达到您想要的超时而没有被重置，这意味着会话已过期，您可以注销用户。使用这种方法，您将完全控制会话生命周期，这使您能够创建注销计时器弹出窗口以警告用户会话即将到期。 SignalR 非常适合这种方法，因为 JavaScript 计时器会不断计时。

Answer 3

我目前使用的解决方法是 IHttpModule 来检查请求是否是 Signalr 请求，如果是，请删除身份验证 cookie，这将防止 ASP.net 会话超时被重置，因此如果您的会话超时为 20 分钟并且唯一的请求是 Signalr，用户会话仍将超时，用户必须再次登录。

    public class SignalRCookieBypassModule : IHttpModule
    {
        public void Init(HttpApplication application)
        {
            application.PreSendRequestHeaders += OnPreSendRequestHeaders;
        }

        private bool IsSignalrRequest(string path)
        {
            return path.IndexOf("/signalr/", StringComparison.OrdinalIgnoreCase) > -1;
        }

        protected void OnPreSendRequestHeaders(object sender, EventArgs e)
        {
            var httpContext = ((HttpApplication)sender).Context;
            if (IsSignalrRequest(httpContext.Request.Path))
            {
                // Remove auth cooke to avoid sliding expiration renew
                httpContext.Response.Cookies.Remove(DefaultAuthenticationTypes.ApplicationCookie);
            }
        }

        public void Dispose()
        {
        }
    }

我觉得这是一个真正的 hack 解决方案，所以我很喜欢其他想法，以防止在数据从服务器推送到客户端时或当 javascript 客户端轮询数据端点时更新会话超时。

Answer 4

如果你看看我前一阵子写的description of the SignalR protocol你会发现：

» ping – ping 服务器 ... 备注：ping 请求并不是真正的“连接管理请求”。 此请求的唯一目的是保持 ASP.NET 会话处于活动状态。它仅由 JavaScript 客户端发送。

所以，我猜 ping 请求正在发挥作用。