如何在IIS网站中禁用WAWebSiteSID Cookie

WAWebSiteSID是Azure App Service默认添加的会话亲和性Cookie，针对静态资源跨域请求触发的FireFox报错，以下是几种可行的解决方法：

1. 关闭Azure App Service会话亲和性 #

直接从平台层面禁用该Cookie的生成：

• 登录Azure门户，进入你的App Service实例
• 打开配置 > 常规设置，将会话亲和性设置为关闭
• 若为.NET应用，可同时在web.config中禁用会话状态彻底阻断相关逻辑：

<system.web>
  <sessionState mode="Off" />
</system.web>

2. 用URL Rewrite规则全局移除Cookie #

通过IIS URL Rewrite模块直接拦截响应头中的Cookie，对静态资源请求也生效：
在web.config的<system.webServer>节点下添加规则：

<rewrite>
  <outboundRules>
    <rule name="Remove WAWebSiteSID Cookie">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="WAWebSiteSID=.*;" />
      <action type="Rewrite" value="" />
    </rule>
  </outboundRules>
</rewrite>

3. 自定义IIS模块拦截响应 #

如果URL Rewrite不可用，可创建自定义HTTP模块覆盖所有请求（包括静态资源）：

• 实现IHttpModule接口拦截响应：

public class RemoveWaCookieModule : IHttpModule
{
    public void Init(HttpApplication context)
    {
        context.ReleaseRequestState += OnReleaseRequestState;
    }

    private void OnReleaseRequestState(object sender, EventArgs e)
    {
        var app = (HttpApplication)sender;
        app.Response.Cookies.Remove("WAWebSiteSID");
    }

    public void Dispose() { }
}

• 在web.config中注册模块：

<system.webServer>
  <modules>
    <add name="RemoveWaCookieModule" type="YourNamespace.RemoveWaCookieModule" />
  </modules>
</system.webServer>

4. 针对静态资源单独配置（按需选择） #

如果仅需处理图片等特定静态资源，可通过<location>节点定向配置：

<location path="images"> <!-- 替换为你的静态资源路径 -->
  <system.webServer>
    <rewrite>
      <outboundRules>
        <rule name="Remove WAWebSiteSID for Static Assets">
          <match serverVariable="RESPONSE_Set-Cookie" pattern="WAWebSiteSID=.*;" />
          <action type="Rewrite" value="" />
        </rule>
      </outboundRules>
    </rewrite>
  </system.webServer>
</location>

说明 #

你之前尝试的EndRequest事件或简单的请求头移除无效，是因为静态资源请求通常由IIS静态文件模块直接处理，不会经过.NET的HttpApplication管道，必须通过IIS级别的拦截规则或模块才能生效。

内容的提问来源于stack exchange，提问作者trw