ASP.NET Core MVC 6.0部署IIS后InProc Session失效求助

核心问题是域名访问时Session无法持久化，IP+端口访问正常，结合你的代码与部署场景，按以下步骤排查修复：

1. 补全Session Cookie的域配置 #

你当前的Session Cookie未指定Domain属性，浏览器通过域名访问时可能无法正确识别并携带Cookie。修改AddSession配置，显式匹配你的访问域名：

builder.Services.AddSession(options => {
    options.IdleTimeout = TimeSpan.FromMinutes(10);
    options.Cookie.Name = ".WebApp.Session";
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true;
    // 示例：若域名为example.com，设为".example.com"支持子域，或直接写"example.com"
    options.Cookie.Domain = "your-domain.com";
    options.Cookie.Path = "/"; // 确保Cookie作用于整个站点
});

注意：域名不要带http/https前缀，需与实际访问域名完全匹配。

2. 确认IIS站点绑定与HTTPS规则 #

• 若域名启用HTTPS，检查IIS站点绑定的SSL证书是否有效，UseHsts和UseHttpsRedirection是否导致重定向过程中Cookie丢失，可临时禁用HTTPS重定向测试。
• 检查是否存在URL重写规则（如强制www、HTTP转HTTPS），这类规则可能破坏Session Cookie的传递，临时禁用后验证是否恢复正常。

3. 验证IIS应用池配置 #

• 确保应用池的托管管道模式为集成模式，ASP.NET Core不支持经典模式。
• 检查应用池标识权限：InProc模式的Session依赖临时文件存储，若标识权限不足会导致Session丢失，可临时将标识改为LocalSystem测试（测试后恢复为最小权限）。

4. 调整Cookie的SameSite与Secure属性 #

若域名存在跨域、嵌套iframe场景，默认的SameSite=Lax可能导致Cookie被拦截：

options.Cookie.SameSite = SameSiteMode.None;
// SameSite设为None时必须开启Secure，仅HTTPS环境生效
options.Cookie.SecurePolicy = CookieSecurePolicy.Always;

5. 调试Session状态 #

在控制器中添加调试接口，确认Session ID是否一致：

public IActionResult SetSession()
{
    HttpContext.Session.SetString("TestKey", "TestValue");
    return Content($"Session ID: {HttpContext.Session.Id}");
}

public IActionResult GetSession()
{
    var value = HttpContext.Session.GetString("TestKey");
    return Content($"Session Value: {value ?? "null"}, Session ID: {HttpContext.Session.Id}");
}

分别用IP+端口和域名访问接口：若域名访问时Session ID每次都变化，说明Cookie未被正确携带，回到Cookie配置环节排查。

内容的提问来源于stack exchange，提问作者Jeff