ASP.NET: Session.SessionID perubahan antar permintaan

Mengapa properti SessionID di Sesi -objek di halaman ASP.NET-perubahan antara permintaan?

Saya memiliki halaman seperti ini:

...
<div>
    SessionID: <%= SessionID %>
</div>
...

Dan outputnya terus berubah setiap kali saya menekan F5, terlepas dari browser.

Ini alasannya

Saat menggunakan keadaan sesi berbasis cookie, ASP.NET tidak mengalokasikan penyimpanan untuk data sesi sampai objek Sesi digunakan. Akibatnya, ID sesi baru dihasilkan untuk setiap permintaan halaman hingga objek sesi diakses. Jika aplikasi Anda memerlukan ID sesi statis untuk seluruh sesi, Anda bisa mengimplementasikan metode Session_Start dalam file Global.asax aplikasi dan menyimpan data dalam objek Sesi untuk memperbaiki ID sesi, atau Anda dapat menggunakan kode di bagian lain dari Anda aplikasi untuk secara eksplisit menyimpan data dalam objek Sesi.

http://msdn.microsoft.com/en-us/library/system.web.sessionstate.httpsessionstate.sessionid.aspx

Jadi pada dasarnya, kecuali Anda mengakses objek sesi di backend, sessionId baru akan dibuat dengan setiap permintaan

EDIT

Kode ini harus ditambahkan pada file Global.asax. Itu menambahkan entri ke objek Sesi sehingga Anda memperbaiki sesi sampai berakhir.

protected void Session_Start(Object sender, EventArgs e) 
{
    Session["init"] = 0;
}

Ada alasan lain yang lebih berbahaya, mengapa hal ini dapat terjadi bahkan ketika objek Sesi telah diinisialisasi seperti yang ditunjukkan oleh Cladudio.

Di Web.config, jika ada <httpCookies>entri yang diatur ke requireSSL="true"tetapi Anda tidak benar-benar menggunakan HTTPS: untuk permintaan tertentu, maka cookie sesi tidak dikirim (atau mungkin tidak dikembalikan, saya tidak yakin yang mana) yang berarti Anda berakhir dengan sesi baru untuk setiap permintaan.

Saya menemukan ini dengan cara yang sulit, menghabiskan beberapa jam bolak-balik antara beberapa komit dalam kontrol sumber saya, sampai saya menemukan perubahan spesifik apa yang telah merusak aplikasi saya.

Dalam kasus saya, saya mengetahui bahwa cookie sesi memiliki domain yang menyertakan www.awalan, sementara saya meminta halaman tanpa www..
Menambahkan www.ke URL segera memperbaiki masalah. Kemudian saya mengubah domain cookie untuk diatur menjadi .mysite.combukan www.mysite.com.

masalah saya adalah bahwa kami memiliki set ini di web.config

<httpCookies httpOnlyCookies="true" requireSSL="true" />

ini berarti bahwa ketika debugging di non-SSL (default), cookie auth tidak akan dikirim kembali ke server. ini berarti bahwa server akan mengirim cookie auth baru (dengan sesi baru) untuk setiap permintaan kembali ke klien.

cara mengatasinya adalah dengan menetapkan keharusan ke false di web.config dan true di web.release.config atau mengaktifkan SSL saat debugging:

Menggunakan jawaban Neville (menghapus membutuhkanSSL = true, di web.config) dan sedikit memodifikasi kode Joel Etherton, berikut adalah kode yang harus menangani situs yang berjalan dalam mode SSL dan mode non SSL, tergantung pada pengguna dan halaman (saya) Saya melompat kembali ke kode dan belum mengujinya di SSL, tetapi berharap itu akan berfungsi - akan terlalu sibuk nanti untuk kembali ke ini, jadi ini dia:

if (HttpContext.Current.Response.Cookies.Count > 0)
        {
            foreach (string s in HttpContext.Current.Response.Cookies.AllKeys)
            {
                if (s == FormsAuthentication.FormsCookieName || s.ToLower() == "asp.net_sessionid")
                {
                    HttpContext.Current.Response.Cookies[s].Secure = HttpContext.Current.Request.IsSecureConnection;
                }
            }
        }

Kemungkinan lain yang menyebabkan SessionID berubah di antara permintaan, bahkan ketika Session_OnStart didefinisikan dan / atau Session telah diinisialisasi, adalah bahwa hostname URL berisi karakter yang tidak valid (seperti garis bawah). Saya percaya ini khusus IE (tidak diverifikasi), tetapi jika URL Anda, katakanlah http://server_name/app, maka IE akan memblokir semua cookie dan informasi sesi Anda tidak akan dapat diakses di antara permintaan.

Bahkan, setiap permintaan akan memunculkan sesi terpisah di server, jadi jika halaman Anda berisi beberapa gambar, tag skrip, dll., Maka masing-masing permintaan GET akan menghasilkan sesi yang berbeda di server.

Informasi lebih lanjut: http://support.microsoft.com/kb/316112

Dalam kasus saya ini banyak terjadi di lingkungan pengembangan dan pengujian saya. Setelah mencoba semua solusi di atas tanpa hasil, saya menemukan bahwa saya dapat memperbaiki masalah ini dengan menghapus semua cookie sesi. Ekstensi pengembang web membuat ini sangat mudah dilakukan. Saya kebanyakan menggunakan Firefox untuk pengujian dan pengembangan, tetapi ini juga terjadi saat pengujian di Chrome. Perbaikannya juga bekerja di Chrome.

Saya belum harus melakukan ini di lingkungan produksi dan belum menerima laporan orang tidak bisa masuk. Ini juga sepertinya hanya terjadi setelah membuat cookie sesi menjadi aman. Itu tidak pernah terjadi di masa lalu ketika mereka tidak aman.

dalam kasus saya itu karena saya memodifikasi sesi setelah mengalihkan dari gateway di aplikasi eksternal , jadi karena saya menggunakan IP sebagai gantinya di localhost di url halaman itu sebenarnya dianggap situs web yang berbeda dengan sesi yang berbeda.

Singkatnya

lebih memperhatikan jika Anda debug aplikasi yang di-host di IIS daripada IIS express dan mencampur mesin Anda http: // Ip dan http: // localhost di berbagai halaman

Masalah saya adalah dengan aplikasi Microsoft MediaRoom IPTV. Ternyata aplikasi MRML MPF tidak mendukung cookie; mengubah menggunakan sesi tanpa masak di web.config memecahkan masalah saya

<sessionState cookieless="true"  />

Berikut ini adalah artikel yang BENAR-BENAR tua tentang hal itu: ASP.NET Cookieless

Saya menggunakan .NET Core 2.1 dan saya sangat menyadari bahwa pertanyaannya bukan tentang Core. Namun internet kurang dan Google membawa saya ke sini sehingga berharap untuk menyelamatkan seseorang beberapa jam.

Startup.cs

services.AddCors(o => o.AddPolicy("AllowAll", builder =>
            {
                builder
                    .WithOrigins("http://localhost:3000")     // important
                    .AllowCredentials()                       // important
                    .AllowAnyMethod()
                    .AllowAnyHeader();       // obviously just for testing
            }));

client.js

const resp = await fetch("https://localhost:5001/api/user", {
            method: 'POST',
            credentials: 'include',                           // important
            headers: {
                'Content-Type': 'application/json'
            },
            body: JSON.stringify(data)
        })

Controllers/LoginController.cs

namespace WebServer.Controllers
{
    [Route("api/[controller]")]
    [ApiController]
    public class UserController : ControllerBase
    {
        [HttpPost]
        public IEnumerable<string> Post([FromBody]LoginForm lf)
        {
            string prevUsername = HttpContext.Session.GetString("username");
            Console.WriteLine("Previous username: " + prevUsername);

            HttpContext.Session.SetString("username", lf.username);

            return new string[] { lf.username, lf.password };
        }
    }
}

Perhatikan bahwa sesi menulis dan membaca berfungsi, namun sepertinya tidak ada cookie yang diteruskan ke browser. Setidaknya saya tidak dapat menemukan tajuk "Set-Cookie" di mana saja.

Ini berubah untuk saya mulai dengan .NET 4.7.2 dan itu karena properti SameSite pada cookie sesi. Lihat di sini untuk info lebih lanjut: https://devblogs.microsoft.com/aspnet/upcoming-samesite-cookie-changes-in-asp-net-and-asp-net-core/

Nilai default berubah menjadi "Lax" dan mulai merusak barang-barang. Saya mengubahnya menjadi "Tidak Ada" dan semuanya berjalan seperti yang diharapkan.

Pastikan Anda tidak memiliki batas waktu sesi yang sangat singkat, dan juga pastikan bahwa jika Anda menggunakan sesi berbasis cookie, Anda menerima sesi.

FireFox webDeveloperToolbar sangat membantu pada saat-saat seperti ini karena Anda dapat melihat cookie ditetapkan untuk aplikasi Anda.

Reset ID sesi mungkin memiliki banyak penyebab. Namun apapun yang disebutkan di atas tidak berhubungan dengan masalah saya. Jadi saya akan menjelaskannya untuk referensi di masa mendatang.

Dalam kasus saya, sesi baru yang dibuat pada setiap permintaan menghasilkan loop pengalihan tak terbatas. Tindakan pengalihan berlangsung di acara OnActionExecuting .

Juga saya telah membersihkan semua header http (juga dalam acara OnActionExecuting menggunakan metode Response.ClearHeaders ) untuk mencegah situs caching di sisi klien. Tapi metode itu membersihkan semua header termasuk informasi tentang sesi pengguna, dan akibatnya semua data dalam penyimpanan Temp (yang saya gunakan nanti dalam program). Jadi, bahkan mengatur sesi baru di acara Session_Start tidak membantu.

Untuk mengatasi masalah saya, saya memastikan untuk tidak menghapus header saat pengalihan.

Semoga ini bisa membantu seseorang.

Saya mengalami masalah ini dengan cara yang berbeda. Pengontrol yang memiliki atribut [SessionState(SessionStateBehavior.ReadOnly)]ini membaca dari sesi yang berbeda meskipun saya telah menetapkan nilai di sesi asli saat memulai aplikasi. Saya menambahkan nilai sesi melalui _layout.cshtml (mungkin bukan ide terbaik?)

Itu jelas ReadOnly yang menyebabkan masalah karena ketika saya menghapus atribut, sesi asli (dan SessionId) akan tetap berlaku. Menggunakan solusi Claudio / Microsoft memperbaikinya.