ASP.NET Core 6会话超时设置不生效问题求助

你的会话超时配置不生效，核心问题是会话中间件的注册顺序错误，同时还有几个需要注意的细节：

1. 修正中间件顺序 #

在ASP.NET Core的请求管道中，UseSession()必须放在正确的位置：

• 必须在UseRouting()之后
• 必须在UseAuthentication()和UseAuthorization()之前

当前你的代码把app.UseSession()放在了UseAuthorization()之后，这会导致会话无法被认证系统正确使用，进而超时配置失效。

修正后的管道顺序：

app.UseRouting();

app.UseSession(); // 移至此处

app.UseAuthentication();
app.UseAuthorization();

2. 检查Cookie认证的超时关联配置 #

你在ConfigureApplicationCookie中设置了ExpireTimeSpan = TimeSpan.FromDays(14)，但如果用户仍在20分钟左右被登出，需要确认：

• 登录逻辑中是否手动设置了更短的凭证过期时间
• 服务器是否有应用池闲置回收配置（比如IIS默认20分钟闲置回收），这会导致内存缓存的会话丢失
• 如果后续切换到分布式缓存，需确保缓存服务的超时配置与Session设置一致

3. 补充Session Cookie的过期同步配置 #

虽然IdleTimeout控制会话空闲超时，但可以显式设置Session Cookie的过期时间，确保与会话超时同步：

builder.Services.AddSession(options => {
    options.Cookie.Name = ".MyWebsite.Session";
    options.IdleTimeout = TimeSpan.FromMinutes(1);
    options.Cookie.IsEssential = true;
    options.Cookie.Expiration = options.IdleTimeout; // 新增该行，同步Cookie过期时间
});

4. 验证GDPR Cookie授权的影响 #

你的CookiePolicyOptions设置了CheckConsentNeeded = context => true，如果用户未同意Cookie授权，Session Cookie可能不会被持久化，导致会话提前失效。可以在开发环境临时关闭该选项测试：

builder.Services.Configure<CookiePolicyOptions>(options =>
{
    options.CheckConsentNeeded = context => app.Environment.IsProduction(); // 开发环境不要求授权
    options.MinimumSameSitePolicy = SameSiteMode.None;
});

总结 #

优先修正中间件顺序，这是导致会话超时配置不生效的最直接原因。之后根据测试结果，再排查Cookie授权、应用池回收或缓存配置的问题。

内容的提问来源于stack exchange，提问作者N.MORR