.NET 7 Web应用会话Cookie生命周期设置问题求助

问题背景 #

作为.NET新手，尝试在浏览器中留存会话Cookie并设置有效期，参考教程和StackOverflow编写了Program.cs代码，但发现浏览器中Cookie不符合预期，同时对app.UseSession()和builder.Services.AddSession()的执行顺序存在疑问：

using MyApp.Utils;

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddControllers();
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();

builder.Services.AddRazorPages();

// Is executed after app.UseSession ();
builder.Services.AddSession(options => 
{
    // Set session timeout
    options.IdleTimeout = TimeSpan.FromMinutes(30); 
    options.Cookie.HttpOnly = true;

    // Make the session cookie essential
    options.Cookie.IsEssential = true; 
    options.Cookie.MaxAge = TimeSpan.FromDays(365);    
});

var app = builder.Build();

if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseRouting();

// Is executed before builder.Services.AddSession (options... ) 
app.UseSession(); 

app.UseAuthorization();

app.MapRazorPages();

if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

EnvironmentSettings.GetSettings(); // Gets settings from INI file.

app.UseHttpsRedirection();
app.UseAuthentication();

app.MapControllers();
app.UseDefaultFiles();
app.MapRazorPages();

app.Run();

核心错误梳理 #

1. 中间件管道顺序混乱：UseAuthentication必须在UseAuthorization之前，UseSession要放在UseRouting之后、UseAuthorization之前，这是.NET管道执行的核心规则；
2. 冗余调用问题：重复调用UseHttpsRedirection和MapRazorPages，可能导致逻辑冲突；
3. 静态文件中间件顺序错误：UseDefaultFiles要在UseStaticFiles之前，否则默认首页文件（如index.html）无法被正确识别；
4. 对服务注册顺序的误解：其实builder.Services.AddSession()是在var app = builder.Build()之前执行的，这部分是正确的——服务必须在构建应用实例前完成注册，你的注释存在误判。

修正后的完整代码 #

using MyApp.Utils;

var builder = WebApplication.CreateBuilder(args);

// 1. 先完成所有服务注册
builder.Services.AddControllers();
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();
builder.Services.AddRazorPages();

builder.Services.AddSession(options => 
{
    options.IdleTimeout = TimeSpan.FromMinutes(30); // 会话空闲超时（30分钟无操作失效）
    options.Cookie.HttpOnly = true; // 禁止前端JS访问，提升安全性
    options.Cookie.IsEssential = true; // 标记为必要Cookie，不受浏览器隐私设置影响
    options.Cookie.MaxAge = TimeSpan.FromDays(365); // Cookie在浏览器中的留存有效期1年
});

var app = builder.Build();

// 2. 配置生产/开发环境差异
if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

// 3. 按正确顺序配置中间件管道
app.UseHttpsRedirection();
app.UseDefaultFiles(); // 先处理默认文件请求
app.UseStaticFiles(); // 再处理静态资源请求

app.UseRouting();

app.UseSession(); // 会话中间件需在认证、授权之前
app.UseAuthentication(); // 认证逻辑在前
app.UseAuthorization(); // 授权逻辑在后

// 4. 映射所有端点
app.MapRazorPages();
app.MapControllers();

// 5. 开发环境启用Swagger
if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

// 加载外部配置（放在管道配置完成后不影响核心逻辑）
EnvironmentSettings.GetSettings();

app.Run();

关键注意事项 #

• 服务注册规则：所有builder.Services.AddXXX()必须在app = builder.Build()之前完成，这是.NET应用启动的核心流程——先注册服务依赖，再构建应用实例；
• 中间件执行顺序：中间件的调用顺序直接决定了请求的处理流程，必须严格遵循：环境配置→HTTPS重定向→静态文件相关→路由→会话→认证→授权→端点映射；
• Cookie参数区别：IdleTimeout控制的是会话的空闲失效时间（用户30分钟不操作则会话失效），Cookie.MaxAge是Cookie本身在浏览器的留存时间（设置1年意味着关闭浏览器后Cookie仍会保留，下次打开网站时只要没超过IdleTimeout，会话就能恢复）。

内容的提问来源于stack exchange，提问作者Dan