ASP.NET 4.5.2应用：HTTP下Chrome/Edge丢失ASP.NET_SessionId，HTTPS正常求助

核心原因分析 #

你的场景是HTTP下Chrome/Edge无法保存Session Cookie，但HTTPS和IE（HTTP）正常，大概率是现代浏览器对Cookie的安全策略限制，结合ASP.NET的Cookie配置导致的，以下是具体排查和解决步骤：

1. 检查httpCookies节点的requireSSL配置 #

如果web.config中开启了requireSSL="true"，浏览器只会在HTTPS请求中携带Cookie，HTTP下直接拒绝保存。这是最常见的原因。

• 修改web.config：

  <system.web>
    <httpCookies requireSSL="false" />
  </system.web>
  

2. 调整Cookie的SameSite属性 #

Chrome/Edge等现代浏览器对SameSite属性的默认行为更严格，若Session Cookie的SameSite设置为Strict或Lax，在HTTP跨域（甚至同域某些场景）下可能无法被携带。

• 配置SameSite属性为None（兼容现代浏览器），同时保持requireSSL="false"：

  <system.web>
    <httpCookies sameSite="None" requireSSL="false" />
  </system.web>
  

  注：sameSite="None"在HTTPS下会自动启用Secure标记，HTTP下浏览器会允许保存Cookie（部分严格模式可能需额外验证，但你的场景IE正常，说明域名是同域）。

3. 验证sessionState节点的Cookie设置 #

确认会话状态配置中没有强制SSL：

<system.web>
  <sessionState cookieless="UseCookies" cookieName="ASP.NET_SessionId" requireSSL="false" />
</system.web>

如果requireSSL为true，HTTP下不会创建Session Cookie。

4. 排查自定义Cookie处理代码 #

如果应用中存在手动修改Cookie属性的代码（比如Global.asax、Action过滤器），检查是否强制设置了Secure=true：

• 错误示例：

  Response.Cookies["ASP.NET_SessionId"].Secure = true;
  

• 修正为仅HTTPS时设置：

  if (Request.IsSecureConnection)
  {
      Response.Cookies["ASP.NET_SessionId"].Secure = true;
  }
  

5. 浏览器侧验证 #

• 检查Chrome/Edge的Cookie设置：确保未开启"仅允许HTTPS站点保存Cookie"或"阻止所有Cookie"。
• 打开浏览器开发者工具（F12）→ Application → Cookies，查看HTTP站点下是否存在ASP.NET_SessionId，如果不存在，说明浏览器未接收该Cookie，回到配置排查。

内容的提问来源于stack exchange，提问作者Imran Yaseen