ASP.NET Core Razor Pages如何按角色动态设置会话时长？

首先明确：没法直接在Program.cs的配置阶段通过IsInRole实现这个需求。因为Program.cs是应用启动阶段的配置代码，此时还没有具体的用户请求上下文，根本拿不到当前用户的身份信息——IsInRole方法依赖HttpContext中的用户主体，这个阶段完全不存在。

下面给你几个可行的实现方案：

方案一：登录成功后根据角色设置会话过期时间 #

在用户登录的逻辑里，拿到用户角色后直接设置会话的过期时长，同时更新会话Cookie的过期时间：

// 登录成功后获取用户角色（假设使用ASP.NET Core Identity）
var userRoles = await _userManager.GetRolesAsync(currentUser);
TimeSpan sessionDuration;

// 根据角色分配不同时长
if (userRoles.Contains("Admin"))
{
    sessionDuration = TimeSpan.FromHours(8);
}
else if (userRoles.Contains("RegularUser"))
{
    sessionDuration = TimeSpan.FromHours(2);
}
else
{
    sessionDuration = TimeSpan.FromHours(1); // 默认时长
}

// 设置会话Cookie的过期时间
if (Request.Cookies.ContainsKey(".AspNetCore.Session"))
{
    Response.Cookies.Append(".AspNetCore.Session", Request.Cookies[".AspNetCore.Session"], new CookieOptions
    {
        Expires = DateTimeOffset.UtcNow.Add(sessionDuration),
        HttpOnly = true,
        Secure = true,
        SameSite = SameSiteMode.Lax
    });
}

// 也可以自定义存储会话过期时间，后续请求时验证
HttpContext.Session.SetString("SessionExpiry", DateTimeOffset.UtcNow.Add(sessionDuration).ToString());

方案二：通过请求中间件动态调整会话时长 #

在请求管道中添加自定义中间件，每次请求时检查当前登录用户的角色，动态更新会话Cookie的过期时间：

// 在Program.cs中，将这个中间件放在UseSession之后
app.Use(async (context, next) =>
{
    if (context.User.Identity.IsAuthenticated)
    {
        // 从用户Claims中获取角色
        var userRoles = context.User.Claims
            .Where(c => c.Type == ClaimTypes.Role)
            .Select(c => c.Value);
            
        TimeSpan sessionDuration = userRoles.Contains("Admin") 
            ? TimeSpan.FromHours(8) 
            : userRoles.Contains("RegularUser") 
                ? TimeSpan.FromHours(2) 
                : TimeSpan.FromHours(1);

        // 更新会话Cookie
        if (context.Request.Cookies.ContainsKey(".AspNetCore.Session"))
        {
            context.Response.Cookies.Append(".AspNetCore.Session", 
                context.Request.Cookies[".AspNetCore.Session"], 
                new CookieOptions
                {
                    Expires = DateTimeOffset.UtcNow.Add(sessionDuration),
                    HttpOnly = true,
                    Secure = true,
                    SameSite = SameSiteMode.Lax
                });
        }
    }

    await next();
});

方案三：利用Identity的票据验证事件调整过期时间 #

如果你用的是ASP.NET Core Identity，可以通过SecurityStampValidatorOptions的OnValidatePrincipal事件，在身份验证票据验证时动态调整过期时间，间接实现会话时长的角色差异化：

// 在Program.cs配置Identity时添加
builder.Services.Configure<SecurityStampValidatorOptions>(options =>
{
    options.OnValidatePrincipal = async (context) =>
    {
        if (!context.User.Identity.IsAuthenticated) return;

        var userManager = context.HttpContext.RequestServices
            .GetRequiredService<UserManager<ApplicationUser>>();
        var user = await userManager.GetUserAsync(context.User);
        if (user == null) return;

        var userRoles = await userManager.GetRolesAsync(user);
        TimeSpan expirySpan = userRoles.Contains("Admin")
            ? TimeSpan.FromHours(8)
            : userRoles.Contains("RegularUser")
                ? TimeSpan.FromHours(2)
                : TimeSpan.FromHours(1);

        var newExpiry = DateTimeOffset.UtcNow.Add(expirySpan);
        // 如果当前票据过期时间和目标时长不符，更新并标记需要重新签发
        if (context.Properties.ExpiresUtc != newExpiry)
        {
            context.Properties.ExpiresUtc = newExpiry;
            context.ShouldRenew = true;
        }
    };
});

这些方案的核心逻辑都是：把角色判断和时长设置的逻辑放到有用户上下文的阶段（登录时或请求处理时），而不是应用启动的配置阶段。

内容的提问来源于stack exchange，提问作者tzviya