ASP.NET Core中未登录用户重定向至登录页的实现求助

一、代码报错原因 #

你遇到的错误：

An Object reference is required for the non-static field, method, or property 'HttpContext.Session'

根源是直接通过HttpContext.Session访问会话的方式错误——HttpContext是实例属性，不能直接通过类名调用，必须从ActionExecutingContext参数中获取当前请求的上下文。

二、关于ASP.NET Core中Session的误解 #

并非ASP.NET Core不能使用Session，而是Session默认未启用，需要手动配置服务和中间件才能正常使用，这也是你误以为无法使用Session的原因。

三、基于Session的验证实现步骤 #

1. 配置Session服务与中间件 #

在Program.cs中添加Session相关配置：

var builder = WebApplication.CreateBuilder(args);

// 注册Session服务，可自定义超时时间与Cookie属性
builder.Services.AddSession(options =>
{
    options.IdleTimeout = TimeSpan.FromMinutes(30);
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true;
});

// 添加MVC服务（针对MVC项目）
builder.Services.AddControllersWithViews();

var app = builder.Build();

// 中间件顺序注意：Session必须放在Routing之后、Authorization之前
app.UseRouting();

app.UseSession(); // 启用Session中间件

app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

app.Run();

2. 修正ActionFilterAttribute代码 #

public class ValidateSessionAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext context)
    {
        // 从当前请求上下文获取Session对象
        var user = context.HttpContext.Session.GetString("User");
        
        if (string.IsNullOrEmpty(user))
        {
            // 重定向到登录页，使用RedirectToActionResult更适配MVC路由
            context.Result = new RedirectToActionResult("Login", "Home", null);
        }
        
        base.OnActionExecuting(context);
    }
}

3. 应用过滤器保护页面 #

在需要限制访问的Index方法或整个控制器上添加特性：

public class HomeController : Controller
{
    [ValidateSession]
    public IActionResult Index()
    {
        return View();
    }

    public IActionResult Login()
    {
        return View();
    }

    // 登录逻辑示例：验证通过后写入Session
    [HttpPost]
    public IActionResult Login(string username, string password)
    {
        // 替换为实际的账号密码验证逻辑
        if (username == "admin" && password == "123456")
        {
            HttpContext.Session.SetString("User", username);
            return RedirectToAction("Index");
        }
        ModelState.AddModelError("", "用户名或密码错误");
        return View();
    }
}

四、不依赖Session的Cookie替代方案 #

如果不想使用Session，可通过Cookie存储用户标识：

1. 登录时写入Cookie #

[HttpPost]
public IActionResult Login(string username, string password)
{
    if (username == "admin" && password == "123456")
    {
        var cookieOptions = new CookieOptions
        {
            Expires = DateTime.Now.AddHours(1),
            HttpOnly = true,
            Secure = true // 生产环境建议开启，仅通过HTTPS传输
        };
        Response.Cookies.Append("LoggedInUser", username, cookieOptions);
        return RedirectToAction("Index");
    }
    ModelState.AddModelError("", "用户名或密码错误");
    return View();
}

2. 修改过滤器验证Cookie #

public class ValidateLoginAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext context)
    {
        var userCookie = context.HttpContext.Request.Cookies["LoggedInUser"];
        
        if (string.IsNullOrEmpty(userCookie))
        {
            context.Result = new RedirectToActionResult("Login", "Home", null);
        }
        
        base.OnActionExecuting(context);
    }
}

五、更推荐的原生身份验证方案 #

对于登录验证场景，ASP.NET Core提供了成熟的ASP.NET Core Identity系统，无需手动实现Session/Cookie逻辑：

• 引入Identity服务并完成配置
• 登录时调用SignInManager.PasswordSignInAsync完成身份认证
• 在需要保护的页面/控制器上添加[Authorize]特性，未登录用户会自动重定向到配置好的登录页

该方案更安全、可扩展，适合生产环境使用。

内容的提问来源于stack exchange，提问作者popo