asp.net 表单身份验证超时设置被忽略

Question

在 web.config 中，我配置表单身份验证如下：

<authentication mode="Forms">
    <forms loginUrl="~/Account/Login.aspx"
        timeout="20"
        slidingExpiration="true"/>
</authentication>

最初，ASPXAUTH cookie 设置正确。使用 Firefox 的 cookie 查看器我可以看到 cookie 并且有效期是正确的（20 分钟）。

滑动到期还可以正确设置更新的 cookie（增加了 20 分钟）。

但此后任何新的 http 请求（即使在接下来的 5 分钟内发出）都会导致 302 错误并重定向到 Login.aspx，就好像身份验证已过期一样。

申请详情如下： 目标asp.net 4 iis 7.5 共享主机，但有专用池（回收没有帮助）。 Login.aspx 使用 asp Login 控件进行身份验证（无自定义 cookie）。

有什么想法吗？

Answer 1

这可能有很多原因。

这是否也在您的本地计算机上发生？您是否可能在 web.config 中配置了与您的本地主机环境不匹配的 httpCookie 域？

您是否配置了机器密钥（验证/加密）？这在负载平衡场景中可能很重要。

您在 IIS 中使用动态内容缓存吗？

查看您的事件日志。默认情况下，基于表单身份验证失败的 302 错误会记录在那里。是否有任何条目说明您为何被视为未经身份验证？它可以帮助确定根本原因（票证过期、无法解密等）

另外请记住，表单身份验证 cookie 的过期时间不会在每个请求上延长。在经过 50% 的原始超时（在您的情况下为 10 分钟）后，将刷新表单身份验证 cookie。所以适当地配置你的会话超时。