整合Angular 9与ASP.NET 4.7 API后，如何处理服务器端会话及Session为空问题？

1. 启用Web API的Session支持 #

ASP.NET Web API默认不开启Session功能，需手动配置启用：

• 在Global.asax.cs的Application_Start方法中添加注册逻辑：

GlobalConfiguration.Configuration.Services.Add(typeof(IHttpControllerActivator), new SessionControllerActivator());
GlobalConfiguration.Configuration.Routes.MapHttpRoute(
    name: "DefaultApi",
    routeTemplate: "api/{controller}/{id}",
    defaults: new { id = RouteParameter.Optional }
);

• 实现SessionControllerActivator类来处理Session生命周期：

public class SessionControllerActivator : IHttpControllerActivator
{
    public IHttpController Create(HttpRequestMessage request, HttpControllerDescriptor controllerDescriptor, Type controllerType)
    {
        var controller = (IHttpController)Activator.CreateInstance(controllerType);
        request.RegisterForDispose(new Release(() => HttpContext.Current.Session.Abandon()));
        return controller;
    }

    private class Release : IDisposable
    {
        private readonly Action _release;
        public Release(Action release) { _release = release; }
        public void Dispose() { _release(); }
    }
}

• 在Application_BeginRequest方法中强制启用Session：

protected void Application_BeginRequest()
{
    HttpContext.Current.SetSessionStateBehavior(SessionStateBehavior.Required);
}

2. 验证Web.config的Session配置 #

检查Web.config中的sessionState节点，确保Session未被禁用：

<system.web>
  <sessionState mode="InProc" cookieless="false" timeout="20" />
  <!-- 其他系统配置 -->
</system.web>

注意：若使用IIS托管，需确保应用程序池为集成模式，经典模式下Session可能无法正常工作。

3. 权衡JWT与Session的设计冲突 #

JWT本身是无状态身份验证机制，Session则是有状态存储，混用可能违背RESTful设计原则。若场景允许，建议直接将用户ID、邮箱存入JWT的Payload中，无需依赖Session：

• 生成JWT时添加自定义Claims：

var claims = new[]
{
    new Claim(ClaimTypes.NameIdentifier, userId),
    new Claim(ClaimTypes.Email, userEmail),
    // 其他自定义字段
};
var token = new JwtSecurityToken(
    issuer: "your-issuer",
    audience: "your-audience",
    claims: claims,
    expires: DateTime.UtcNow.AddHours(1),
    signingCredentials: new SigningCredentials(yourSecurityKey, SecurityAlgorithms.HmacSha256)
);

• 后端获取用户信息时，直接从HttpContext.Current.User.Claims中读取即可。

4. 确保请求携带Session Cookie #

若坚持使用Session，需保证前端请求携带ASP.NET默认的ASP.NET_SessionId Cookie：

• 同域名下Angular的HttpClient默认会自动携带Cookie；
• 跨域场景（即使同解决方案、端口不同也算跨域）需在Angular请求中设置withCredentials: true，同时后端配置CORS允许凭证：

var cors = new EnableCorsAttribute("http://your-frontend-url", "*", "*") { SupportsCredentials = true };
GlobalConfiguration.Configuration.EnableCors(cors);

内容的提问来源于stack exchange，提问作者Srikanth