在IHttpModule中能否访问自定义接口？会话超时后用户上下文清理问题

我开发了一个继承自IHttpModule的sessionTimeOutModule，用来处理用户会话超时场景：当用户会话超时时，执行登出等操作。但测试发现，调用Request.GetOwinContext().Authentication.SignOut(***)完成登出后，Context中仍留存用户信息，导致这些数据传入Action Filters，引发功能异常。

我的核心需求是：要么重置Context（移除当前用户信息），要么在登出后登录匿名用户（需要调用ClaimsIdentityProvider创建新声明）。

现有代码 #

void PostAuthenticateRequest(HttpApplication application)
{
    var context = application.Context;

    var customer = context.GetCustomer();

    // 如果用户已登录或正在结账但闲置过久，要求重新认证
    var sessionTimeout = customer.IsAdminUser || customer.IsAdminSuperUser
        ? Common.AdminSessionTimeout()
        : Common.SessionTimeout();

    var reauthRequired = customer.HasCustomerRecord
        && customer.LastActivity < DateTime.Now - sessionTimeout;
    var pageURL = context.Request.Url.Segments.Length > 1 ? context.Request.Url.Segments[1] : context.Request.Url.AbsolutePath;
    
    if (!reauthRequired)
    {
        // 如果请求是特定资源类型，不更新会话计时器，避免AJAX请求干扰
        var requestedResourceEndsWithIgnoredExtension = new[]
            {
                ".png",
                ".jpg",
                ".gif",
                ".js",
            }
            .Any(extension => context.Request.Url.AbsoluteUri.EndsWith(extension));

        if (!requestedResourceEndsWithIgnoredExtension)
            customer.ThisCustomerSession.UpdateCustomerSession(null, null);
    }
    else if (customer.IsRegistered)
    {
        var authenticationManager = context
            .Request
            .GetOwinContext()
            .Authentication;

        // 已注册用户需要重新登录
        authenticationManager.SignOut(AuthValues.CookiesAuthenticationType);
        context.Request
            .GetOwinContext()
            .Authentication
            .SignOut(AuthValues.CookiesAuthenticationType);

        var customer1 = new Customer(Guid.NewGuid());
        if(ClaimsIdentityProvider != null)
        {
            HttpContext.Current.Request
                .GetOwinContext()
                .Authentication
                .SignIn(
                    properties: new Microsoft.Owin.Security.AuthenticationProperties
                    {
                        IsPersistent = true
                    },
                    identities: ClaimsIdentityProvider.Create(customer1));
        } // 这段代码不起作用
    }
    else
    {
        // 匿名用户处理逻辑
        customer.EndAnonymousSession();

        var sessionTimeoutLandingPage = Common.AppSettingsConfig("SessionTimeoutLandingPage");
        var redirectUrl = string.IsNullOrEmpty(sessionTimeoutLandingPage)
            ? "~/"
            : sessionTimeoutLandingPage;
        context.Response.Redirect(redirectUrl, false);
        context.ApplicationInstance.CompleteRequest();
        return;
    }
}

问题原因与解决方案 #

为什么SignOut后Context仍有用户信息？

PostAuthenticateRequest事件触发时，当前请求的HttpContext.User已经完成初始化，调用SignOut只会清除认证Cookie，但不会修改当前请求上下文里的用户对象——后续的Action Filters依然会读取到旧的用户信息。

方案1：直接重置HttpContext用户信息

在SignOut后，手动清空当前请求的用户身份：

// 登出后添加这行代码
context.User = new GenericPrincipal(new GenericIdentity(string.Empty), new string[0]);

这样能立刻让后续的Filter读取到匿名用户身份，无需额外创建ClaimsIdentity。

方案2：正确登录匿名用户（修复现有代码）

现有代码中SignIn无效的原因是：Owin的SignIn是为下一次请求设置认证Cookie，当前请求的Context不会同步更新。要让当前请求生效，需要同时更新HttpContext.User：

if(ClaimsIdentityProvider != null)
{
    var anonymousIdentity = ClaimsIdentityProvider.Create(customer1);
    // 登录匿名用户（更新Cookie，供下次请求使用）
    HttpContext.Current.Request
        .GetOwinContext()
        .Authentication
        .SignIn(
            properties: new Microsoft.Owin.Security.AuthenticationProperties
            {
                IsPersistent = true
            },
            identities: anonymousIdentity);
    // 同步更新当前请求的Context用户
    context.User = new GenericPrincipal(anonymousIdentity, new string[0]);
}

额外建议：结合重定向（更稳妥）

如果业务允许，在登出后直接重定向到首页或登录页，这样后续请求会使用新的认证状态，完全避免旧Context的干扰：

authenticationManager.SignOut(AuthValues.CookiesAuthenticationType);
// 重置Context用户
context.User = new GenericPrincipal(new GenericIdentity(string.Empty), new string[0]);
// 重定向
var redirectUrl = Common.AppSettingsConfig("SessionTimeoutLandingPage") ?? "~/";
context.Response.Redirect(redirectUrl, false);
context.ApplicationInstance.CompleteRequest();
return;

内容的提问来源于stack exchange，提问作者Ram Singh