Session设为60分钟过期却未自动登出，修复方案发布版偶发失效

已配置Session 60分钟后过期，但无法自动触发用户登出；尝试了以下定时器修复逻辑，但该代码在发布环境中无法稳定生效：

public async void Logout(object sender, ElapsedEventArgs e)
{
    await InvokeAsync(async () =>
    {
        var authState = await AuthenticationStateProvider
       .GetAuthenticationStateAsync();
        var user = authState.User;
        try
        {
            session_expires_at = DateTimeOffset.Parse(user.Claims.Where(x => x.Type == "bff/session_expires_at").Select(x => x.Value).FirstOrDefault());
            session_expires_in = ((int)Math.Round(session_expires_at.Subtract(DateTimeOffset.UtcNow).TotalSeconds));
            Console.WriteLine(session_expires_at);
            Console.WriteLine(session_expires_in);
            if (session_expires_in < 2)
            {
                var url = user.FindFirst("bff/logout_url")?.Value;
                Navigation.NavigateTo(configuration["------"] + url, true);
            }
            else
                timer.Interval = session_expires_in > 30 ? (session_expires_in - 10) * 1000 : 1000;
        }
        catch { }
    });
}

现有代码的核心问题 #

1. async void 回调风险：定时器回调用async void会导致异常无法被正确捕获，空catch块直接吞掉所有错误，发布环境出问题根本无法排查。
2. 用户状态同步问题：依赖AuthenticationStateProvider在定时器里取用户状态，Blazor中这个状态可能因组件生命周期、服务器端会话更新出现不一致，发布环境下缓存或同步延迟会导致拿到的过期时间不准。
3. 容错逻辑缺失：没有判断Claim是否存在、时间解析是否成功，一旦这些环节出错，定时器逻辑直接失效，还没有任何报错提示。
4. 定时器间隔不合理：设置1000毫秒的最小间隔会导致频繁触发，浏览器后台运行时可能被系统限制，反而影响触发稳定性。

修复方案 #

1. 重构回调逻辑，增加异常处理与容错

把async void改成async Task，添加异常日志和参数校验，避免静默失败：

private async Task LogoutAsync(object sender, ElapsedEventArgs e)
{
    await InvokeAsync(async () =>
    {
        var authState = await AuthenticationStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;
        try
        {
            // 先检查Claim是否存在
            var expiresAtClaim = user.Claims.FirstOrDefault(x => x.Type == "bff/session_expires_at");
            if (expiresAtClaim == null)
            {
                Console.WriteLine("未找到会话过期时间Claim");
                timer.Stop();
                return;
            }
            
            // 安全解析时间，避免格式错误崩溃
            if (!DateTimeOffset.TryParse(expiresAtClaim.Value, out var session_expires_at))
            {
                Console.WriteLine("会话过期时间格式解析失败");
                timer.Stop();
                return;
            }
            
            var session_expires_in = (int)Math.Round(session_expires_at.Subtract(DateTimeOffset.UtcNow).TotalSeconds);
            Console.WriteLine($"会话过期时间：{session_expires_at}");
            Console.WriteLine($"剩余过期时间：{session_expires_in}秒");
            
            if (session_expires_in < 2)
            {
                var logoutUrlClaim = user.FindFirst("bff/logout_url");
                if (logoutUrlClaim == null || string.IsNullOrEmpty(logoutUrlClaim.Value))
                {
                    Console.WriteLine("未找到登出URL Claim");
                    return;
                }
                
                var fullLogoutUrl = configuration["------"] + logoutUrlClaim.Value;
                Navigation.NavigateTo(fullLogoutUrl, forceLoad: true);
            }
            else
            {
                // 最小间隔设为5秒，避免频繁触发被浏览器限制
                var newInterval = session_expires_in > 30 ? (session_expires_in - 10) * 1000 : 5000;
                timer.Interval = newInterval;
            }
        }
        catch (Exception ex)
        {
            // 生产环境替换为ILogger记录到日志系统
            Console.WriteLine($"自动登出逻辑异常：{ex.Message}\n{ex.StackTrace}");
            timer.Stop();
        }
    });
}

2. 确保用户状态实时同步

• 如果是Blazor Server：用CascadingAuthenticationState包裹组件，保证能获取最新的服务器端会话状态；
• 如果是Blazor WebAssembly：定期向服务器发起会话校验请求，同步最新的过期时间，避免客户端缓存的Claim与实际服务器会话不一致。

3. 补充服务器端校验

客户端定时器不可靠（浏览器休眠、后台运行会被暂停），建议在每次API请求时，由服务器校验会话状态，若已过期则返回特定状态码，客户端收到后触发登出。

内容的提问来源于stack exchange，提问作者Ig1410