.NET Core微服务中如何访问ApplicationSessionState并检测用户登录状态？

首先明确：.NET Core微服务无法直接访问ASP.NET 4.8 MVC应用的ApplicationSessionState——因为ApplicationSessionState默认是进程内存储，且两套框架的运行环境不兼容，跨进程跨平台无法直接共享。但可以通过以下几种方案实现登录状态的实时检查：

1. 基于共享存储的令牌黑名单/会话验证机制 #

这是最常用的方案，核心是把会话状态同步到所有服务都能访问的共享存储中：

• 在ASP.NET 4.8 MVC应用中，生成JWT时添加jti（JWT ID）声明，同时将jti和对应的会话状态（比如是否登录、过期时间）存入共享存储（Redis、SQL Server都可以）。
• 当用户登出或会话过期时，MVC应用将该jti标记为无效（或直接删除）。
• .NET Core微服务在验证JWT签名通过后，额外去共享存储中查询该jti的有效性：如果标记为无效，则拒绝请求，判定用户已登出。

示例代码（Redis实现）：

MVC应用登出逻辑 #

// 假设获取当前JWT的jti
var jti = User.Claims.First(c => c.Type == JwtRegisteredClaimNames.Jti).Value;
// 存入Redis标记为无效，过期时间设为JWT的剩余有效期
await _redisDb.StringSetAsync($"session:invalid:{jti}", "true", TimeSpan.FromMinutes(10));

.NET Core微服务验证逻辑 #

// 在JWT验证的事件中添加检查
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            // 原有验证参数...
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new RsaSecurityKey(_rsaProvider),
            // ...
        };

        options.Events = new JwtBearerEvents
        {
            OnTokenValidated = async context =>
            {
                var jti = context.Principal.Claims.First(c => c.Type == JwtRegisteredClaimNames.Jti).Value;
                var redis = context.HttpContext.RequestServices.GetRequiredService<IDatabase>();
                var isInvalid = await redis.StringGetAsync($"session:invalid:{jti}") == "true";
                
                if (isInvalid)
                {
                    context.Fail("用户会话已失效");
                }
            }
        };
    });

2. 缩短JWT有效期 + 刷新令牌机制 #

通过降低JWT的有效期来减少会话状态不一致的窗口，同时搭配刷新令牌实现无感续期：

• 将JWT的过期时间设置为较短的区间（比如5-15分钟），同时签发一个有效期更长的刷新令牌（比如1天），刷新令牌存储在MVC应用的会话中。
• 当JWT过期时，客户端携带刷新令牌向MVC应用请求新的JWT，此时MVC应用会检查原会话是否有效（通过ApplicationSessionState），只有会话有效才会签发新的JWT。
• .NET Core微服务只需正常验证JWT的签名和过期时间即可，实时的登录状态由MVC应用在刷新令牌环节把控。

3. 调用MVC应用的内部会话检查API #

如果不想引入共享存储，可以让微服务调用MVC应用暴露的内部接口来验证会话：

• 在ASP.NET 4.8 MVC应用中编写一个内部API（比如/internal/session/validate），接收用户ID或JWT的jti，查询ApplicationSessionState后返回会话是否有效。
• .NET Core微服务在验证JWT后，调用该API获取会话状态，根据返回结果决定是否允许请求。
• 注意：必须对这个API做严格的权限控制，比如限制仅微服务的IP访问，或者使用服务间的专用认证令牌。

内容的提问来源于stack exchange，提问作者Sandhya Ratan