ASPX WebForm应用中排除自动Ajax请求实现会话超时的方案

这个问题确实很常见——自动Ajax请求会不断刷新Session的活跃时间，导致原本的Session.Timeout设置完全失效。要实现仅基于用户手动操作判断闲置超时，我们需要前端和后端配合处理，核心思路是：记录用户最后一次手动交互的时间，后端只根据这个时间来判断是否让Session过期，完全忽略自动Ajax请求的影响。

一、前端：捕获用户手动交互并记录时间 #

我们需要监听用户的手动操作事件（比如鼠标点击、键盘输入、触屏操作），每次触发时更新最后交互时间，并在所有自动Ajax请求中携带这个时间到后端。

前端代码示例 #

// 初始化最后手动交互时间（页面加载时）
let lastManualActivity = new Date().toISOString();
localStorage.setItem('LastManualActivity', lastManualActivity);

// 绑定所有手动交互事件
const interactiveEvents = ['mousedown', 'keydown', 'touchstart'];
interactiveEvents.forEach(event => {
    document.addEventListener(event, updateLastActivity);
});

// 更新最后交互时间
function updateLastActivity() {
    const now = new Date().toISOString();
    localStorage.setItem('LastManualActivity', now);
    lastManualActivity = now;
}

// 封装自动Ajax请求，携带最后交互时间
function sendAutoAjax() {
    const xhr = new XMLHttpRequest();
    xhr.open('GET', '/YourAjaxHandler.aspx', true);
    // 通过请求头传递最后手动交互时间
    xhr.setRequestHeader('X-Last-Manual-Activity', lastManualActivity);
    
    xhr.onload = function() {
        // 后端返回Session过期标识时，跳转登录页
        if (xhr.responseText.trim() === 'SESSION_EXPIRED') {
            window.location.href = '/Login.aspx';
        }
    };
    
    xhr.send();
}

// 每5分钟执行一次自动请求
setInterval(sendAutoAjax, 5 * 60 * 1000);

如果你的项目用jQuery，可以通过全局Ajax设置统一携带请求头，避免每个请求单独处理：

$.ajaxSetup({
    beforeSend: function(xhr) {
        xhr.setRequestHeader('X-Last-Manual-Activity', localStorage.getItem('LastManualActivity'));
    }
});

二、后端：基于手动交互时间判断Session过期 #

在ASPX WebForm中，我们可以通过Global.asax的Application_BeginRequest事件统一处理所有请求，判断用户是否已闲置超过10分钟。

后端代码示例（Global.asax） #

void Application_BeginRequest(object sender, EventArgs e)
{
    HttpContext context = HttpContext.Current;
    bool isAjaxRequest = context.Request.Headers["X-Requested-With"] == "XMLHttpRequest";
    
    // 获取前端传来的最后手动交互时间
    string lastManualActivityStr = context.Request.Headers["X-Last-Manual-Activity"];
    if (!string.IsNullOrEmpty(lastManualActivityStr))
    {
        if (DateTime.TryParse(lastManualActivityStr, out DateTime lastManualActivity))
        {
            // 仅当新的交互时间比Session中记录的更新时，才更新Session
            if (context.Session["LastManualActivityTime"] == null || 
                ((DateTime)context.Session["LastManualActivityTime"]) < lastManualActivity)
            {
                context.Session["LastManualActivityTime"] = lastManualActivity.ToUniversalTime();
            }
        }
    }
    
    // 判断是否已闲置超过10分钟
    if (context.Session["LastManualActivityTime"] != null)
    {
        DateTime lastActiveTime = (DateTime)context.Session["LastManualActivityTime"];
        TimeSpan idleDuration = DateTime.UtcNow - lastActiveTime;
        
        if (idleDuration.TotalMinutes >= 10)
        {
            // 销毁Session
            context.Session.Abandon();
            
            // 针对Ajax请求返回标识，非Ajax请求直接跳转登录页
            if (isAjaxRequest)
            {
                context.Response.Clear();
                context.Response.ContentType = "text/plain";
                context.Response.Write("SESSION_EXPIRED");
                context.Response.End();
            }
            else
            {
                context.Response.Redirect("/Login.aspx");
            }
        }
    }
}

三、关键注意事项 #

1. 时区处理：前端用toISOString()生成UTC时间，后端转换为UTC时间比较，避免时区差异导致的判断错误。
2. Session超时设置：建议将Session.Timeout设置为比10分钟稍长（比如15分钟），确保Session不会因自身超时逻辑提前失效，让我们的自定义逻辑完全控制过期时机。
3. 覆盖所有交互场景：除了鼠标、键盘、触屏事件，如果你还有其他手动交互（比如拖拽、右键点击），可以补充对应的事件监听。
4. 页面刷新/新标签页：用localStorage存储最后交互时间，确保页面刷新或打开新标签页时能继承之前的记录（如果需要跨标签页共享的话）。

内容的提问来源于stack exchange，提问作者pravprab