ASP.NET Web应用(IIS)会话过期预警与续期方案咨询

针对你在IIS上ASP.NET Forms认证应用遇到的问题（用户进入不可控HTML页面集群，需会话超时前x分钟提示并续期，无法使用客户端脚本），以下是可行的服务器端实现方案：

一、改进IHttpModule方案（解决原有问题） #

针对你之前使用IHttpModule遇到的三个问题，调整实现逻辑，无需客户端脚本即可触发提示：

核心思路 #

在请求生命周期的AcquireRequestState记录会话状态，在ReleaseRequestState阶段向响应中插入隐藏iframe（指向我们可控的提示页面），实现超时预警与续期，无需修改目标HTML页面。

代码实现 #

1. 自定义HttpModule

public class SessionTimeoutWarningModule : IHttpModule
{
    public void Init(HttpApplication context)
    {
        // 绑定请求事件，确保在SessionStateModule之后执行
        context.AcquireRequestState += OnAcquireRequestState;
        context.ReleaseRequestState += OnReleaseRequestState;
    }

    private void OnAcquireRequestState(object sender, EventArgs e)
    {
        var app = (HttpApplication)sender;
        var ctx = app.Context;

        // 仅处理已认证且会话初始化完成的请求
        if (!ctx.User.Identity.IsAuthenticated || ctx.Session == null)
            return;

        // 将会话关键信息存入内存缓存
        var sessionCacheKey = $"SessionTrack_{ctx.Session.SessionID}";
        var sessionTrackData = new
        {
            LastAccessUtc = DateTime.UtcNow,
            TimeoutMinutes = ctx.Session.Timeout,
            WarningThresholdMinutes = 5 // 配置为需求中的x分钟
        };
        // 缓存有效期与会话超时一致
        MemoryCache.Default.Set(sessionCacheKey, sessionTrackData, 
            DateTime.UtcNow.AddMinutes(ctx.Session.Timeout));
    }

    private void OnReleaseRequestState(object sender, EventArgs e)
    {
        var app = (HttpApplication)sender;
        var ctx = app.Context;

        if (!ctx.User.Identity.IsAuthenticated || ctx.Session == null)
            return;

        var sessionCacheKey = $"SessionTrack_{ctx.Session.SessionID}";
        var sessionTrackData = MemoryCache.Default.Get(sessionCacheKey) as dynamic;
        if (sessionTrackData == null)
            return;

        // 计算会话剩余时间
        var remainingMinutes = (sessionTrackData.LastAccessUtc.AddMinutes(sessionTrackData.TimeoutMinutes) 
            - DateTime.UtcNow).TotalMinutes;

        // 达到预警阈值时插入隐藏iframe
        if (remainingMinutes <= sessionTrackData.WarningThresholdMinutes && remainingMinutes > 0)
        {
            var iframeHtml = $"<iframe src=\"/SessionTimeoutWarning.aspx?sid={ctx.Session.SessionID}\" " +
                             "style=\"display: none; width:0; height:0;\"></iframe>";
            ctx.Response.Write(iframeHtml);
        }
    }

    public void Dispose() { }
}

2. 超时预警页面（SessionTimeoutWarning.aspx）

页面显示预警提示与续期按钮，点击续期按钮触发会话重置：

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="SessionTimeoutWarning.aspx.cs" Inherits="YourApp.SessionTimeoutWarning" %>
<!DOCTYPE html>
<html>
<head>
    <title>会话即将过期</title>
    <style>
        .warning-box { position: fixed; top: 20px; right: 20px; padding: 15px; background: #fff3cd; border: 1px solid #ffeeba; border-radius: 4px; z-index: 9999; }
    </style>
</head>
<body>
    <div class="warning-box">
        <p>您的会话将在<%= (int)ViewState["RemainingMinutes"] %>分钟后过期</p>
        <button onclick="renewSession()">续期会话</button>
    </div>
    <script>
        function renewSession() {
            // 访问空处理程序重置会话超时
            fetch('/RenewSession.ashx', { method: 'GET' })
                .then(() => window.close());
        }
    </script>
</body>
</html>

3. 会话续期处理程序（RenewSession.ashx）

仅需触发会话访问即可重置超时窗口：

public class RenewSession : IHttpHandler
{
    public void ProcessRequest(HttpContext context)
    {
        // 访问会话ID即可触发超时重置
        if (context.Session != null)
        {
            var dummy = context.Session.SessionID;
        }
        context.Response.StatusCode = 200;
    }

    public bool IsReusable => true;
}

4. 注册模块

在web.config中注册HttpModule：

<system.web>
  <httpModules>
    <add name="SessionTimeoutWarningModule" type="YourApp.SessionTimeoutWarningModule, YourApp" />
  </httpModules>
</system.web>
<!-- IIS 7+ 集成模式 -->
<system.webServer>
  <modules>
    <add name="SessionTimeoutWarningModule" type="YourApp.SessionTimeoutWarningModule, YourApp" />
  </modules>
</system.webServer>

解决原有问题说明 #

• 问题1：认证后丢失会话数据：仅在会话初始化完成且用户已认证时处理，避免干扰会话创建流程；
• 问题2：无法展示提示：通过插入隐藏iframe加载预警页面，绕过目标HTML页面的限制；
• 问题3：无法使用客户端脚本：仅在我们可控的预警页面使用脚本，无需修改目标HTML页面。

二、后台定时任务+缓存跟踪方案（多服务器场景） #

若应用部署在多服务器集群，需使用分布式缓存（如Redis）替代内存缓存，配合后台定时任务监控会话状态：

核心思路 #

1. 每次请求时，将会话标识、最后访问时间、超时阈值存入分布式缓存；
2. 用定时任务（如Hangfire、Windows服务）每隔固定时间扫描缓存，识别即将超时的会话；
3. 当用户下一次请求ASP.NET资源时，检查该会话的预警状态，返回提示页面。

代码示例（Hangfire定时任务） #

1. 会话监控任务

public class SessionMonitorJob
{
    private readonly IDistributedCache _cache;
    private readonly int _warningMinutes = 5;

    public SessionMonitorJob(IDistributedCache cache)
    {
        _cache = cache;
    }

    public void CheckSessionTimeouts()
    {
        // 从分布式缓存获取所有会话跟踪键（需自定义键前缀）
        var sessionKeys = _cache.GetKeysByPrefix("SessionTrack_");

        foreach (var key in sessionKeys)
        {
            var sessionData = _cache.Get<SessionTrackData>(key);
            if (sessionData == null)
                continue;

            var remainingMinutes = (sessionData.LastAccessUtc.AddMinutes(sessionData.TimeoutMinutes) 
                - DateTime.UtcNow).TotalMinutes;

            if (remainingMinutes <= _warningMinutes && remainingMinutes > 0)
            {
                // 标记该会话为即将超时状态，存入缓存
                _cache.SetString($"SessionWarning_{sessionData.SessionId}", "true", 
                    new DistributedCacheEntryOptions { AbsoluteExpirationRelativeToNow = TimeSpan.FromMinutes(_warningMinutes) });
            }
        }
    }
}

public class SessionTrackData
{
    public string SessionId { get; set; }
    public DateTime LastAccessUtc { get; set; }
    public int TimeoutMinutes { get; set; }
}

2. 触发提示逻辑

在Global.asax的BeginRequest事件中检查预警标记：

protected void Application_BeginRequest(object sender, EventArgs e)
{
    var app = (HttpApplication)sender;
    var ctx = app.Context;

    if (!ctx.User.Identity.IsAuthenticated || ctx.Session == null)
        return;

    var warningKey = $"SessionWarning_{ctx.Session.SessionID}";
    if (_cache.GetString(warningKey) == "true")
    {
        // 重定向到预警页面，处理完成后跳转回原请求
        ctx.Response.Redirect($"/SessionTimeoutWarning.aspx?returnUrl={HttpUtility.UrlEncode(ctx.Request.RawUrl)}");
        _cache.Remove(warningKey);
    }
}

方案对比 #

内容的提问来源于stack exchange，提问作者Icecandy