如何阻止Owin在会话过期时重定向至登录页面？

我之前处理过类似的场景，核心是要覆盖Owin Cookie认证中间件默认的重定向行为，同时确保会话超时逻辑符合你的预期。下面是具体的实现步骤：

1. 自定义Cookie认证的重定向事件 #

Owin的CookieAuthenticationMiddleware默认会在会话过期（或未认证）时自动重定向到登录页，我们需要通过修改它的事件来阻止这个行为。在你的Startup.cs的认证配置代码中，找到UseCookieAuthentication的部分，添加自定义的OnRedirectToLogin事件处理：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = WsFederationAuthenticationDefaults.AuthenticationType,
    ExpireTimeSpan = TimeSpan.FromMinutes(10),
    // 关闭滑动过期（如果需要严格的10分钟超时，不需要用户活跃时延长会话）
    SlidingExpiration = false,
    Events = new CookieAuthenticationEvents
    {
        OnRedirectToLogin = context =>
        {
            // 阻止默认的重定向行为
            // 这里可以根据需求返回不同的响应：比如401状态码，或者自定义JSON响应
            context.Response.StatusCode = 401;
            // 如果是AJAX请求，还可以返回JSON提示
            if (context.Request.Headers["X-Requested-With"] == "XMLHttpRequest")
            {
                context.Response.ContentType = "application/json";
                return context.Response.WriteAsync(JsonConvert.SerializeObject(new { Message = "会话已过期，请重新登录" }));
            }
            return Task.CompletedTask;
        }
    }
});

这段代码的作用是：当触发登录重定向时，直接返回401状态码（如果是AJAX请求则返回JSON提示），而不是跳转到登录页。

2. 按需调整滑动过期设置 #

你提到Owin甚至会在10分钟超时前触发重定向，这大概率是因为默认开启了滑动过期（SlidingExpiration）。滑动过期会在用户有活跃操作时自动延长会话有效期，但如果用户长时间无操作，Cookie的过期时间是基于最后一次请求计算的，就会出现“看似没到10分钟但会话已过期”的错觉。如果你需要严格的10分钟固定超时，就像上面代码中那样设置SlidingExpiration = false即可。

3. 前端配合处理会话过期 #

因为我们不再自动重定向，你需要在前端捕获401状态码，然后触发你的自主会话管理逻辑（比如弹出会话过期提示、引导用户手动登录等）。举个简单的前端示例（用jQuery）：

$(document).ajaxComplete(function(event, xhr, settings) {
    if (xhr.status === 401) {
        // 触发你的自定义会话处理逻辑
        alert('会话已过期，请重新登录');
        // 或者跳转到你的自定义登录提示页
        // window.location.href = '/SessionExpired';
    }
});

额外说明（可选） #

如果你使用WsFederationAuthenticationMiddleware对接ADFS，通常不需要额外调整它的重定向逻辑——只要Cookie认证的重定向被阻止，ADFS的重定向只会在首次登录或主动触发认证时发生，不会在会话过期时自动触发。如果需要更严格的控制，也可以自定义WsFederationAuthenticationEvents的OnRedirectToIdentityProvider事件，但一般场景下不需要这一步。

这样调整后，Owin就不会在会话过期时自动重定向到登录页，完全由你的自主会话管理机制来处理过期逻辑了。

内容的提问来源于stack exchange，提问作者Diego Arias