ASP.NET MVC静态全局变量多终端实例化问题及Cookie方案咨询

1. 静态类全局变量的实例化与共享机制 #

你定义的GlobalVariables是静态类，它的静态成员属于应用程序域(AppDomain)级别：

• 静态类会在第一次被代码访问时完成初始化，整个Web应用运行期间（AppDomain存活周期内）只会存在唯一一份实例
• 所有来自不同终端的请求，都会共享这同一个静态类的成员变量。也就是说，终端A设置的LoggedUser值，终端B的请求也能读取到，这就是你之前出现“用户名被错误捕获”的核心原因——静态变量完全没有用户/请求隔离的特性。

2. Cookie的安全性与最佳实践 #

用Cookie存储用户相关信息是常见场景，但要注意安全边界：

• 禁止存储敏感信息：绝对不能把密码、用户权限的核心细节等敏感数据存在Cookie里，因为Cookie存储在客户端，可能被篡改或窃取
• 开启安全属性：
  • 设置HttpOnly=true：禁止前端JavaScript读取Cookie，降低XSS攻击风险
  • 设置Secure=true（仅HTTPS站点）：确保Cookie只通过加密的HTTPS传输
  • 设置SameSite属性为Strict或Lax：防止CSRF攻击
• 存储非明文标识：建议存储加密后的用户ID或唯一会话标识，后端通过这个标识查询用户信息，而不是直接存储用户名这类明文信息

总体来说，合规使用Cookie是符合安全与最佳实践的，但它更适合存储轻量、非敏感的用户标识类数据，而非复杂的工作流全局变量。

3. 实现终端独立的全局变量方案 #

根据你的需求（各终端独立、工作流阶段共享），推荐以下几种方案：

方案一：Session（用户会话级别） #

Session是ASP.NET MVC中专门用于用户会话隔离的存储机制，每个用户有独立的Session容器：

// 设置Session
Session["LoggedUser"] = "张三";
Session["UserRole"] = "管理员";

// 读取Session
var loggedUser = Session["LoggedUser"] as string;
var userRole = Session["UserRole"] as string;

Session默认基于Cookie实现（可配置为其他存储方式），适合存储会话期间需要持续保留的用户数据。

方案二：HttpContext.Items（单次请求级别） #

如果你的工作流仅在单次HTTP请求内共享变量，用HttpContext.Items更轻量，它的生命周期仅限于当前请求：

// 设置变量
HttpContext.Items["GblRegID"] = 123;

// 读取变量
var regId = (int)HttpContext.Items["GblRegID"];

方案三：官方身份验证机制（推荐） #

如果是用户身份相关的信息（如用户名、角色），建议使用ASP.NET官方的身份验证框架（比如ASP.NET Identity）：

• 用户登录后，身份信息会被封装到ClaimsPrincipal中，在控制器、视图中可以直接通过User对象访问：

// 获取用户名
var userName = User.Identity.Name;

// 获取用户角色
var isAdmin = User.IsInRole("管理员");

这种方式是官方推荐的最佳实践，安全、用户隔离，且能与ASP.NET的权限控制体系无缝集成。

内容的提问来源于stack exchange，提问作者WarSam