.NET API中LDAP会话未刷新导致用户身份串位问题求助

核心诱因推测 #

这种偶发串位几乎都是全局/静态对象被多请求共享导致的——比如LDAP连接实例、用户身份上下文被声明为静态，并发场景下后请求会直接覆盖前请求的信息。

排查与解决步骤 #

• 检查LDAP相关对象的生命周期
  排查代码中是否存在static修饰的LdapConnection实例、用户身份存储类（比如存储当前用户信息的全局变量）。这类对象必须改为请求级别生命周期：

  • 每个请求单独创建LDAP连接，请求结束后及时释放；
  • 通过依赖注入配置为Scoped生命周期，确保每个请求拿到独立的实例。

• 验证Cookie与用户身份读取逻辑

  • 确认Cookie配置正确：开启HttpOnly、合理设置SameSite属性，避免跨会话Cookie污染；
  • 确保用户身份读取逻辑是每次请求从当前HttpContext或Cookie中单独提取，而非从全局缓存/静态变量中直接获取。比如每次请求都通过Cookie中的用户标识去LDAP查询，而不是查询一次就缓存到全局对象。

• 登录环节的会话处理
  不需要强制清除所有会话，但要确保登录时：

  • 为新登录用户生成独立的会话标识（或更新Cookie内容）；
  • 立即重置当前请求的HttpContext.User为新用户身份，避免旧身份残留。

• 并发场景复现与日志追踪

  • 用Postman、JMeter等工具模拟多用户并发请求，复现串位问题，定位具体的共享对象；
  • 在用户身份读取、LDAP查询、请求处理的关键节点添加日志，记录请求ID、用户ID、LDAP连接ID等信息，出现串位时通过日志追踪信息覆盖的链路。

内容的提问来源于stack exchange，提问作者gergerger