如何阻止两个独立ASP.NET Web应用共享同一会话状态？

核心问题 #

你遇到的不是Session状态共享，而是Forms认证的登录会话被跨应用共享，根源在于：

1. 两个应用都使用默认的.ASPXAUTH作为Forms认证Cookie名称，浏览器会将该Cookie发送给同域名下的所有应用，导致登录状态互通。
2. 登录代码里手动添加空Session Cookie的操作完全多余，还可能干扰ASP.NET自动管理Session的逻辑。
3. 若两个应用部署在同域名的不同子路径，默认Cookie路径为/，会被所有子应用共享。

具体修复步骤 #

1. 为每个应用配置独立的Forms认证Cookie #

在各自的web.config的<system.web>节点下，添加或修改<forms>节点，指定唯一的Cookie名称，必要时限制路径：

Web App 1 的web.config：

<authentication mode="Forms">
  <forms 
    name=".ASPXAUTH_ZebsAdmin"  <!-- 与App2区分的唯一名称 -->
    loginUrl="~/Account/Login"
    defaultUrl="~/Home/Index"
    path="/zebs-admin"  <!-- 若应用部署在子路径，设为对应路径以限制Cookie作用范围 -->
    timeout="30"
    slidingExpiration="true" />
</authentication>

Web App 2 的web.config：

<authentication mode="Forms">
  <forms 
    name=".ASPXAUTH_Zebs"  <!-- 与App1区分的唯一名称 -->
    loginUrl="~/Account/Login"
    defaultUrl="~/Home/Index"
    path="/zebs"  <!-- 对应App2的子路径 -->
    timeout="30"
    slidingExpiration="true" />
</authentication>

2. 删除登录代码中的多余操作 #

把两个应用登录代码里的以下无效代码删掉：

Response.Cookies.Add(New HttpCookie("ASP.NET_zebs-admin_SessionId", String.Empty))

Response.Cookies.Add(New HttpCookie("ASP.NET_Zebs_SessionId", String.Empty))

ASP.NET会自动处理Session Cookie的生成与管理，手动添加空Cookie只会干扰正常逻辑。

3. 确认Session配置的有效性 #

你已经为两个应用设置了不同的Session Cookie名称，这部分配置是正确的，继续保持：

• Web App1：cookieName="ASP.NET_zebs-admin_SessionId"
• Web App2：cookieName="ASP.NET_Zebs_SessionId"
  同时确保两个应用使用独立的应用池（你已配置，无需改动），本地运行时使用不同端口。

4. 验证效果 #

用同一个浏览器打开两个应用，分别登录不同账号，检查是否各自保持独立的登录状态；也可通过浏览器开发者工具查看Cookie列表，应能看到两个不同名称的Forms认证Cookie和Session Cookie。

内容的提问来源于stack exchange，提问作者Ben Daouda