ASP.NET_SessionId Cookie未在浏览器显示，如何让IIS正常下发？

• 确认会话状态实际被使用
  ASP.NET默认不会主动下发ASP.NET_SessionId Cookie，只有当代码中实际读写Session数据时才会生成并下发。比如在页面后台或控制器中添加一行触发代码：

Session["Test"] = "Hello";

访问页面后再检查Cookie，这是最常见的触发缺失原因。

• 检查web.config的会话状态配置细节
  确保<system.web>节点下的<sessionState>配置符合要求：

<sessionState mode="InProc" cookieless="UseCookies" timeout="20" />

• mode需设为InProc（默认）、StateServer或SQLServer，不能是Off；

• cookieless必须为UseCookies，禁止使用UseUri等无Cookie模式；

• 若配置了domain属性，需与当前访问域名完全匹配，否则浏览器会拒绝接收Cookie。

• 验证IIS站点的Cookie相关设置

  • 打开IIS管理器，进入站点→HTTP响应头→设置，确认未禁用或修改Set-Cookie响应头；
  • 检查站点的URL重写规则，确认没有意外移除或篡改Set-Cookie头。

• 排查浏览器与环境限制

  • 确认浏览器未禁用Cookie，当前站点未被设置为阻止Cookie（比如隐私模式的严格权限）；
  • 关闭代理、防火墙或浏览器广告拦截扩展，换用纯净浏览器环境测试，排查是否有第三方拦截Session Cookie。

• 检查ASP.NET版本与应用池配置

  • 确保应用池的.NET CLR版本与项目.NET版本匹配（如.NET Framework 4.8项目不能使用.NET CLR v2.0应用池）；
  • 将应用池的托管管道模式设为Integrated，经典模式易引发Session兼容性问题。

• 排查代码层面的拦截逻辑
  检查全局过滤器、HttpModule或自定义中间件，确认没有在响应阶段移除ASP.NET_SessionId对应的Set-Cookie头，例如以下代码会导致Cookie丢失：

Response.Headers.Remove("Set-Cookie");

内容的提问来源于stack exchange，提问作者Cyrus Lim