如何在ASP.NET Core重定向请求间传递数据并确保数据可清除

场景回顾 #

我们调整了业务流程，要求用户登录后才能完成操作，但因入口修改成本较高，仍允许未登录用户启动流程，具体流程如下：

• 用户尝试执行步骤A
• 检测到用户未登录时，保存步骤A的上下文数据（含目标Controller/Action及参数），重定向至登录页
• 用户登录成功后，读取保存的数据，重定向至步骤A完成页并携带全部参数

现有方案的问题 #

• TempData：未被消费的数据会无限期留存，即使会话中断（如电脑崩溃）也不会自动清理，易导致后续操作异常
• 数据库存储：需要定时清理过期数据，且用户在有效期内返回登录页时，会触发不必要的重定向，造成用户困惑
• 隐藏字段：无法跨Action传递数据，不适用跨页面跳转的场景

推荐方案 #

1. 带过期时间的Session存储 #

利用Session的会话生命周期特性，同时给数据设置过期时间，兼顾自动清理和有效性校验：

• 将步骤A的上下文数据序列化为字符串（如JSON），存入Session，并附加一个过期时间戳（比如当前时间+30分钟）
• 跳转登录页时无需额外携带标识，登录成功后先检查Session中是否存在该数据且未过期：
  • 数据有效则读取后立即从Session中删除，再重定向到目标页面
  • 数据过期或不存在则直接进入系统默认首页/登录后页面
• 优势：Session会随用户会话结束（浏览器关闭、超时）自动清理，结合手动删除和过期检查，完全避免数据残留；实现简单，无需额外数据库操作

示例代码（ASP.NET为例）：

// 保存步骤A数据到Session
var stepAData = new {
    Controller = "Order",
    Action = "Confirm",
    Params = new { OrderId = 123, Amount = 99 }
};
HttpContext.Session.SetString("PendingStepData", JsonSerializer.Serialize(stepAData));
// 设置过期时间（配合Session超时双重保障）
HttpContext.Session.SetString("PendingStepExpires", DateTime.Now.AddMinutes(30).ToString("o"));

// 登录成功后读取并清理
var expiresStr = HttpContext.Session.GetString("PendingStepExpires");
if (!string.IsNullOrEmpty(expiresStr) && DateTime.TryParse(expiresStr, out var expires) && expires > DateTime.Now)
{
    var dataStr = HttpContext.Session.GetString("PendingStepData");
    if (!string.IsNullOrEmpty(dataStr))
    {
        var stepData = JsonSerializer.Deserialize<dynamic>(dataStr);
        // 立即清理Session数据
        HttpContext.Session.Remove("PendingStepData");
        HttpContext.Session.Remove("PendingStepExpires");
        // 重定向到目标页面
        return RedirectToAction(stepData.Action, stepData.Controller, stepData.Params);
    }
}
// 无有效数据时进入默认页面
return RedirectToAction("Index", "Home");

2. 加密的URL参数传递 #

如果数据量极小且不包含敏感信息，可以将步骤A的上下文数据加密后作为URL参数附加到登录页跳转链接中：

• 将Controller/Action和参数序列化为JSON，通过对称加密（如AES）处理后进行URL编码
• 跳转登录页时携带该加密参数：/Account/Login?returnData=加密后的字符串
• 登录成功后解密参数，直接重定向到目标页面，无需存储数据
• 优势：完全无数据残留问题，无需依赖Session或数据库；但要保证加密强度，避免参数被篡改，同时注意参数长度不能超过URL限制

示例代码（ASP.NET为例）：

// 加密并跳转登录页
var stepAData = new {
    Controller = "Order",
    Action = "Confirm",
    Params = new { OrderId = 123 }
};
var json = JsonSerializer.Serialize(stepAData);
var encryptedData = Encrypt(json, "your-encryption-key"); // 自定义对称加密方法
var encodedData = HttpUtility.UrlEncode(encryptedData);
return Redirect($"/Account/Login?returnData={encodedData}");

// 登录成功后解密并重定向
var returnData = Request.Query["returnData"];
if (!string.IsNullOrEmpty(returnData))
{
    var decryptedJson = Decrypt(HttpUtility.UrlDecode(returnData), "your-encryption-key");
    var stepData = JsonSerializer.Deserialize<dynamic>(decryptedJson);
    return RedirectToAction(stepData.Action, stepData.Controller, stepData.Params);
}
return RedirectToAction("Index", "Home");

3. 基于Cookie的临时存储（带过期和清理） #

将数据存入Cookie，设置较短的过期时间（比如30分钟），同时标记为会话Cookie（浏览器关闭即失效）：

• 序列化步骤A数据，加密后存入Cookie，设置Expires为当前时间+30分钟，开启HttpOnly和Secure属性确保安全
• 登录成功后读取Cookie数据，验证有效性后立即删除该Cookie，再重定向到目标页面
• 优势：无需服务器端存储，数据随Cookie过期或浏览器关闭自动清理；但要注意Cookie的大小限制（一般4KB以内），且必须加密防止篡改

方案选择建议 #

• 优先选择带过期时间的Session存储：平衡实现复杂度和数据安全性，适合大多数场景
• 若数据量极小且无敏感信息，可选择加密URL参数：完全无残留问题
• 若不想依赖Session，可选择加密Cookie存储：但需注意大小限制和安全加密

内容的提问来源于stack exchange，提问作者Kolichikov