ASP.NET MVC 6中如何防止Session超时或延长超时时长

一、延长Session有效时长的配置方法 #

• 服务端直接配置Session超时参数：在Program.cs中注册Session服务时，通过IdleTimeout属性指定滑动过期时间，配置示例如下：

var builder = WebApplication.CreateBuilder(args);
// 注册Session服务
builder.Services.AddSession(options =>
{
    // 按需设置超时时间，示例设置为2小时，框架默认值为20分钟
    options.IdleTimeout = TimeSpan.FromHours(2);
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true;
});
// 其他服务注册...
var app = builder.Build();
// 注意Session中间件要放在路由、授权中间件之前
app.UseSession();
// 其他中间件配置...
app.Run();

注意：Session采用滑动过期机制，用户在超时窗口内发起任意请求时，有效期会自动重置为配置的时长。

• 部署环境同步配置：如果部署在IIS上，需要同步修改对应应用程序池的空闲超时（Idle Time-out） 配置，IIS默认20分钟无请求会回收应用进程，会导致内存中的Session全部丢失，该值需要设置为和Session超时时间一致，避免进程回收导致的异常过期。

二、避免Session过期抛出异常的处理方案 #

仅延长超时时间无法完全规避过期问题（比如用户长时间离开页面、应用重启等场景都会触发Session失效），需要配合容错处理避免页面抛错：

• 全局拦截校验Session有效性：通过全局Action过滤器或者自定义中间件，在请求进入业务逻辑前统一校验关键Session标识（比如用户登录凭证）是否存在，过期时直接跳转登录页或返回标准化的过期提示，避免业务代码读取空Session抛出异常。全局过滤器示例：

// 注册全局过滤器
builder.Services.AddControllersWithViews(options =>
{
    options.Filters.Add<SessionCheckAttribute>();
});

// Session校验过滤器实现
public class SessionCheckAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext context)
    {
        // 跳过不需要Session校验的接口/页面，比如登录页、保活接口
        var path = context.HttpContext.Request.Path;
        if (path.StartsWithSegments("/Account/Login") || path.StartsWithSegments("/api/session/keepalive"))
        {
            base.OnActionExecuting(context);
            return;
        }
        // 校验关键Session值是否存在
        var userId = context.HttpContext.Session.GetString("UserId");
        if (string.IsNullOrEmpty(userId))
        {
            // 区分Ajax请求和普通页面请求返回不同结果
            if (context.HttpContext.Request.Headers["X-Requested-With"] == "XMLHttpRequest")
            {
                context.Result = new JsonResult(new { code = 401, msg = "登录已过期，请刷新页面重新登录" })
                {
                    StatusCode = StatusCodes.Status401Unauthorized
                };
            }
            else
            {
                context.Result = new RedirectToActionResult("Login", "Account", null);
            }
            return;
        }
        base.OnActionExecuting(context);
    }
}

• 所有Session读取操作增加空值判断：不要直接对Session取到的可空值调用Value属性或者直接使用，比如避免写int userId = Session.GetInt32("UserId").Value这类代码，先判断值是否存在再做后续逻辑处理，从代码层面规避空引用异常。
• 前端心跳保活（可选）：如果业务场景要求用户长时间停留在单页面不操作也不触发Session过期，可以在前端加定时心跳请求，在超时窗口内发起轻量请求顺延Session有效期。示例：

// 对应20分钟超时配置，每15分钟发一次保活请求
setInterval(() => {
    fetch('/api/session/keepalive', {
        method: 'GET',
        credentials: 'include'
    });
}, 15 * 60 * 1000);

保活接口无需编写复杂逻辑，只要请求能正常经过Session中间件，就会自动触发滑动过期逻辑重置有效期。

• 架构层面优化：不要在Session中存储核心业务/身份凭证，核心登录态建议结合框架自带的身份认证体系（Cookie Authentication、JWT等）实现，Session仅存储临时、非关键的轻量数据，从根源上降低Session过期对业务的影响。

内容的提问来源于stack exchange，提问作者anonymous anonymous