如何从ASP.NET Core SessionMiddleware中提取会话密钥

如果你使用的是ASP.NET Core官方提供的Session+Redis分布式缓存方案，有两个开箱即用的优雅方案可以获取会话密钥，无需自行改造中间件或解密Cookie：

方案1：直接读取Session.Id（最简便） #

只要你的请求已经经过SessionMiddleware处理（默认MVC/WebAPI项目的管道配置都会把Session中间件注册在业务逻辑执行前，满足该条件），直接读取HttpContext.Session.Id即可拿到明文的会话密钥：

// 直接获取明文会话密钥
string sessionKey = HttpContext.Session.Id;
// 拼接Redis中存储的实际键：默认前缀为.AspNetCore.Session
string redisCacheKey = $".AspNetCore.Session.{sessionKey}";
// 用该键直接查询Redis即可判断会话是否存在

如果你的项目中自定义了Session配置的前缀，将上述代码中的.AspNetCore.Session替换为你配置的SessionOptions.Cookie.NamePrefix的值即可。

方案2：提前判断会话存在性（无需等待SessionMiddleware执行） #

如果你需要在SessionMiddleware执行前就判断会话是否存在、进而决定是否要跳过会话加载逻辑，可以注入ISessionStore服务实现查询：

// 从请求Cookie中读取加密的会话串，默认Cookie名为.AspNetCore.Session
string encryptedSessionValue = Request.Cookies[".AspNetCore.Session"];
if (!string.IsNullOrEmpty(encryptedSessionValue))
{
    // 调用ISessionStore判断会话是否存在，不会加载全量会话数据
    var session = await sessionStore.LoadAsync(encryptedSessionValue, CancellationToken.None);
    bool sessionExists = session != null;
}

你之前提到的三种方案的适用场景和问题说明：

• 调用Session.LoadAsync()检查Session.Keys：可以实现需求，但会将全量会话数据加载到应用内存，仅做存在性判断的话会产生不必要的性能开销
• 自行解密会话Cookie：不需要自行实现，框架内置的会话组件已经包含了合规的解密逻辑，自行实现容易出现安全漏洞，且框架版本迭代后可能出现兼容问题
• 自定义改造SessionMiddleware：复杂度高，后续框架升级维护成本大，无特殊定制需求不需要采用该方案

内容的提问来源于stack exchange，提问作者siles