我很惊讶我找不到任何答案。
如何将我的 cookie 中的 sessionid 设置为在会话结束时过期？ （当浏览器关闭或用户一段时间不活动时）。
我找到的两个解决方案是
(httpcookie).Expires = HttpContext.Current.Session.Timeout
这给了我一个编译错误，所以我不知道用户在发布之前是否检查了他的代码。另一种是将过期日期设置为 1 天前，我的直觉认为这是错误的。我该怎么做？
【问题讨论】：
不要使用登录控件，它会增加难度。
protected void btnLogin_Click(object sender, EventArgs e)
{
// Check user and password in database
bool isValidUser = ValidateUser(txtUsername.Text, txtPassword.Text);
// Set cookie to be not persistent - this means if the user closes the browser,
//autentification cookie will be deleted and the user is not longer logged
bool isPersistentCookie = false;
// Login user with the new username
FormsAuthentication.SetAuthCookie(txtUsername.Text, isPersistentCookie);
}
【讨论】：
请务必注意，如今您不能指望在用户关闭浏览器时删除会话 cookie。 Chrome 和 Firefox 早在 2012 年左右就做出了改变 - 请参阅this answer 的各种链接。
现在，未能删除会话 cookie 让我觉得这是一个可怕的、可怕的、不好的、非常糟糕的安全漏洞，更不用说违反了所有相关的 RFC，但显然我们的 Google（和 Mozilla）霸主更清楚。
我不确定最好的解决方法是什么，但我采取的方法是在每次调用后将 cookie 上的“Expires”属性重置为一个小时后。这并不完全是理想的行为，但我认为这比让关键的 cookie 基本上永远存在要好。
欢迎其他建议或澄清。
【讨论】：
您说的是非持久性 cookie。默认情况下，asp.net 以这种方式发送 cookie。它们之间的主要区别在于持久性 cookie 设置了过期值。
因此，如果您不希望 cookie 持续存在，请不要设置 expires 值。
也就是说，cookie 将保留在内存中，直到浏览器真正关闭。假设他们浏览了您的网站，而您设置了一个非持久性 cookie。他们做事并浏览。稍后，他们使用相同的浏览器实例返回您的站点。 cookie 仍然存在。
现在，如果他们在任何时候关闭浏览器，cookie 就会被清除。
重点是，不要设置expires header。尤其是在会话日期到期时。会话日期通常只在未来 20 分钟左右，但到期日期会随着用户浏览您的网站而向前滚动。
===== 更新=====
我使用以下代码进行测试：
protected void Page_Load(object sender, EventArgs e) {
if (!Page.IsPostBack) {
HttpCookie c = Request.Cookies["test"];
if (c != null) {
Response.Write(String.Format("test value is {0} <br />", c.Value));
}
} else {
HttpCookie c = new HttpCookie("test");
c.Value = "HERE IT IS";
Response.Cookies.Add(c);
}
}
protected void Button1_Click(object sender, EventArgs e) {
Response.Write("clicked<br />");
}
.aspx 文件简单有一个按钮，它触发了 button1_click 处理程序。当我最初使用任何最新的浏览器（即 firefox、chrome）浏览它时，没有 cookie。单击按钮后，设置了一个 cookie。然后我完全关闭了浏览器，重新打开并浏览回该站点。在所有情况下，cookie 都消失了。
【讨论】：
TimeOut 返回一个int，Expires 期望DateTime，这就是该代码无法编译的原因。将过期日期设置为过去的日期会立即撤销 cookie，因此这可能不是您想要的。如果您未使用过期日期，则 cookie 将在用户关闭浏览器后立即过期。
如果您希望将 cookie 绑定到特定 Session，为什么首先要涉及 cookie？每次用户使用您的应用程序延长会话时，您当然可以继续延长 cookie 的到期日期，但这似乎是不必要的工作。只需使用会话。
请随意详细说明问题。
【讨论】：
Session["someKey"] = someString; string retrievedValue = (string)Session["someKey"];
HttpContext.Current.Session 是空的，所以我只是使用 cookie，并在每次用户访问时延长到期日期。