ASP.NET MVC Core后续请求Cookie校验及自动登录实现

1. 校验位置选择 #

应该在全局拦截层（比如服务端中间件、前端路由守卫）或者主布局的初始化逻辑里做Cookie校验，而非登录页。
原因很直白：用户再次访问时可能直接跳转首页、个人中心这类授权页面，不会先进入登录页。如果只在登录页校验，用户直接访问授权页面会触发未授权错误，体验极差。全局拦截能确保任何页面请求发起时都先完成Cookie校验，自动恢复登录态。

2. 完整校验流程 #

以下是服务端主导的标准校验流程（客户端仅做辅助判断，核心校验必须在服务端，防止前端篡改）：

• 拦截用户页面请求，从请求头提取包含加密sessionid和userid的Cookie
• 解密Cookie中的加密字段，验证格式合法性（非空、符合预设加密规则）
• 用解密后的userid和sessionid查询会话存储（数据库/缓存），确认会话是否存在、是否在有效期内、状态是否正常（未被强制登出）
• 若会话有效：将当前请求上下文的isvalidated属性设为true，放行请求并渲染目标页面
• 若会话无效（不存在、过期、异常）：清除浏览器无效Cookie，将isvalidated设为false，跳转至登录页引导用户重新登录

3. 减少数据库访问次数的方案 #

• 引入内存缓存（如Redis）：把有效会话的核心信息（userid、sessionid、过期时间）存在缓存中，校验时优先查缓存，仅在缓存未命中（比如会话刚创建、缓存过期）时查询数据库，查询后同步更新缓存
• 会话续签机制：用户发起活跃请求时（如点击页面、提交操作），直接更新缓存中的会话过期时间，同时定期异步同步到数据库，不用每次请求都操作数据库
• 统一过期时间：让Cookie有效期、缓存过期时间与数据库会话过期时间保持一致，避免频繁的过期校验查询
• 单次校验复用：在一次请求生命周期内仅做一次Cookie校验，将isvalidated结果存在请求上下文里，后续业务逻辑直接读取，无需重复查询

内容的提问来源于stack exchange，提问作者maztt