ASP.NET 会话变量在用户会话之间泄漏

Question

当用户浏览我的网站时，我最初使用静态变量来存储一些用户信息。我遇到了一些问题，有时用户会在某个地方导航并在页面上看到不同的用户名。我切换到使用会话变量来解决这个问题，但发生了同样的问题。然后我认为以某种方式使会话变量名称唯一可以解决问题，例如而不是

Session["userId"]

我更改了所有会话变量以在创建和引用用户时附加用户的唯一用户名，因此它们是：

Session["userId" + Context.Identity.User.Name.ToString()] 

到目前为止，我还没有收到有关此问题的报告，但这真的可行吗？有没有一种简单的方法来保护会话，使变量不会在用户之间泄漏？我对ASP.NET 代码（特别是webforms）很有信心，但随着越来越多的用户使用该站点，我只遇到了会话问题。由于该站点是通过AWS Elastic Beanstalk 构建的，因此我对 IIS 设置没有太多控制权，因此它主要是默认的 IIS 设置。

Answer 1

这应该可以正常工作，但我建议将用户名或用户配置文件信息存储在 cookie 或本地存储中，因为正如您所提到的，当许多用户登录时，它会在服务器内存上为他们维护会话（我相信会话默认情况下是在内存中不是进程内或redis）。这是不可扩展的，就像数百万用户登录或您创建负载测试服务器一样，会话管理将占用大量内存。然而，几百个用户的开销并不大。

您可以使用 sessionStorage 在用户浏览器中存储信息，例如：

设定值

sessionStorage.setItem("user_name", "test");

获取价值

var userName = sessionStorage.getItem("user_name");

它也可以存储javascript对象或json。

Cookie 是在用户端存储信息的旧方式：

创建 cookie

document.userCookie = "username=John Doe";

阅读 cookie

document.userCookie //"username=John Doe"

表单身份验证还提供加密和安全的 cookie，该 cookie 由会话维护，如果用户个人资料信息是敏感数据，这也很好。

Answer 2

抱歉，我无法为您的问题编写 cmets，但是： 使用 AWS Elastic Beanstalk 的 Java 开发人员也遇到了同样的问题： https://forums.aws.amazon.com/thread.jspa?threadID=84027 首先，我建议您尝试为您的 HttpResponse 设置 no-cache （临时解决方案），而不是 我建议您尝试使用 IIS 代理设置。

如果它没有帮助（并且您正在使用负载平衡器） - 拒绝使用本主题中的 inproc 设置： User on wrong session

PS。您确实不必使会话变量名称不同 - ASP.NET 为每个会话设置不同的 Session_ID 来保证会话的唯一性。