如何在ASP.NET Core 7 Web API中访问HttpContext.Session并解决相关异常

安全阿岳

2026-7-19

解决ASP.NET Core 7 Web API会话异常及正确访问HttpContext.Session的方法

你遇到的IDataProtectionProvider解析异常，是因为Session中间件依赖数据保护服务加密会话数据，而你的配置缺少了关键的Session服务注册步骤。以下是完整的正确配置流程：

1. 完善Program.cs中的服务注册与中间件配置

在Program.cs中按顺序添加以下代码：

首先注册分布式内存缓存（你已添加，需确保在AddSession之前）：
```
builder.Services.AddDistributedMemoryCache();
```

注册Session服务（这是缺失的关键步骤，它会自动引入数据保护服务依赖）：

builder.Services.AddSession(options =>
{
    options.IdleTimeout = TimeSpan.FromMinutes(30); // 设置会话超时时间
    options.Cookie.HttpOnly = true; // 增强安全性，防止客户端脚本访问Cookie
    options.Cookie.IsEssential = true; // 标记Cookie为必要，符合GDPR要求
});

配置中间件管道时，必须在UseRouting()之后、UseAuthorization()之前添加UseSession()：

app.UseRouting();

app.UseSession(); // 注意中间件顺序

app.UseAuthorization();

app.MapControllers();

2. 在控制器中访问HttpContext.Session

在API控制器中，直接通过HttpContext.Session读写会话数据即可，示例代码：

[ApiController]
[Route("api/[controller]")]
public class SessionController : ControllerBase
{
    [HttpGet("set")]
    public IActionResult SetSession()
    {
        HttpContext.Session.SetString("UserName", "John");
        HttpContext.Session.SetInt32("UserId", 123);
        return Ok("会话数据已设置");
    }

    [HttpGet("get")]
    public IActionResult GetSession()
    {
        var userName = HttpContext.Session.GetString("UserName");
        var userId = HttpContext.Session.GetInt32("UserId");
        return Ok(new { UserName = userName, UserId = userId });
    }
}