ASP.NET（或任何 Web 框架）如何实现持久会话状态？

Question

由于各种原因，我厌倦了 ASP.NET 会话状态，我正在尝试自己做（即将出现的另一个问题与我厌倦的原因以及我自己做这件事是否可行有关，但现在让我们假设它是）。

抛开安全问题不谈，跟踪会话似乎只涉及存储一个带有 guid 的 cookie 并将该 guid 与数据库中的一个小“会话”表相关联，该表以 guid 为键并包含少量字段对于链接到注册用户的会话，跟踪超时并链接到用户表中的主键。

但是，如果用户的浏览器未设置为接受 cookie，我对 cookie 的一个细节感到困惑。在我看来，每次用户访问任何启用了会话状态的页面时，ASP.NET 都必须确定浏览器是否支持 cookie。如果已经有随请求发送的会话 cookie，则显然它知道 cookie 已被接受。

如果没有，它似乎需要检查，据我了解，这涉及尝试写入 cookie 并重定向到尝试读取 cookie 的页面。因此，当关闭了 cookie 的用户访问网站的多个页面时，似乎 ASP.NET

(a) 必须对用户访问的每个页面进行此往返测试，或者

(b) 必须假设浏览器接受 cookie 并在每个页面上为用户创建一个带有（临时）会话 id 的记录——如果会话状态应该是持久的，它似乎必须写入初始状态每个页面上数据库的会话 ID。

但是 (a) 听起来很疯狂， (b) 听起来也很疯狂，因为我们会很快为所有这些单页会话累积会话 ID。因此，我认为必须有一些其他技巧/启发式方法用于知道何时进行往返测试和/或何时实际为会话创建记录。

我的困惑是错的吗？

（要清楚，我不是在谈论在 ASP.NET 的可插拔会话状态系统中实现自定义存储解决方案。我说的是完全跳过 ASP.NET 的会话状态系统。我的问题是更详细的版本这个：Implementing own Session Management in ASP.NET.)

Answer 1

会话行为是通过 web.config 中的 sessionState 元素设置的。在 sessionState 元素中，HttpCookieMode 可以设置为UseUri, UseCookies, AutoDetect, UseDeviceProfile 之一。

UseUri 和 UseCookies 明确地告诉 ASP.NET 如何处理存储会话标识符。如果使用 UseDeviceProfile，则行为取决于用户代理是否支持 cookie（而不是它们是否启用）。

AutoDetect 是您感兴趣的有趣案例。Understand How the ASP.NET Cookieless Feature Works 中解释了 ASP.NET 如何处理自动检测。在那篇文章中，您将看到他们进行了 5 种不同的检查。正如您所提到的，其中一项检查是设置 cookie 并执行重定向以查看 cookie 是否存在。如果 cookie 存在，则浏览器支持 cookie 并设置 sessionID cookie。但是，这并不是对每个请求都进行的，因为他们在进行重定向之前所做的另一项检查是检查是否存在任何 cookie。因为在初始 set-cookie 和重定向之后 sessionID cookie 将被设置，那么 cookie 的存在让 ASP.NET 知道 cookie 是受支持的，并且不需要进一步的 set-cookie 和重定向。

Answer 2

嗯，cookie 是一种标准的 Web 身份验证机制。你有什么理由不想使用它们吗？你确定你不是想发明一个没有问题的问题吗？

我所知道的大多数严肃网站都要求浏览器接受 cookie 才能对用户进行身份验证。可以肯定地假设每个现代浏览器都支持它们。

有一篇关于cookieless ASP.NET 的有趣文章值得一读。

编辑：

@o.k.w：默认情况下，会话状态由 ASP.NET 进程内保存（读取：在内存中）。除非配置明确告知将会话存储在数据库中（开箱即用地支持 SQL Server），否则这不会导致数据库命中。陈旧的会话状态将从进程内存储中清除。不幸的是，使用默认的 ASP.NET 设置，每个无 cookie 请求都会导致创建一个新会话。

以下是可用会话存储选项的详细比较：http://msdn.microsoft.com/en-us/library/ms178586.aspx。