设置Response.Cookies[ASP.NET_SessionId].Secure=true后Session清空怎么办？

ASP.NET服务端的Session数据完全依赖请求头中携带的ASP.NET_SessionId Cookie值做匹配，Cookie值对应不上就会返回空的新Session，你遇到的清空问题本质是Session匹配失效，具体原因有两个：

• 直接通过Response.Cookies["ASP.NET_SessionId"]访问不存在的Cookie时，ASP.NET会自动创建一个全新的SessionId写入响应，覆盖用户原有的有效SessionId，相当于直接给用户重置了会话，原有Session数据自然无法匹配到。
• 被标记了Secure = true的Cookie，浏览器只会在HTTPS协议的请求中携带回服务端，如果你的站点还存在HTTP请求、或者修改Cookie时当前请求是HTTP协议，后续请求浏览器不会携带这个SessionId Cookie，服务端找不到对应会话就会生成新的空Session。

• 方案1（最推荐，无代码侵入）：直接在web.config中全局配置安全Cookie规则，不需要在母版页写额外代码。
  配置示例：

  <system.web>
    <!-- 全局给所有Cookie开启Secure标记 -->
    <httpCookies requireSSL="true" />
    <!-- 单独给SessionId的Cookie开启Secure标记，和全局配置配合生效，原有sessionState的其他配置保留即可 -->
    <sessionState cookieRequireSSL="true" />
  </system.web>
  

  配置后站点所有Cookie默认会带上Secure属性，也不会出现主动修改Cookie触发的SessionId重置问题。如果你的站点需要适配跨站场景，可以在httpCookies节点额外增加sameSite="None"配置。
• 方案2（适用于需要代码动态控制的场景）：修改母版页的代码逻辑，避免主动创建新的SessionId Cookie：
  代码示例：

  // 仅在HTTPS请求下修改Secure属性，避免HTTP请求下配置后Cookie无法回传
  if (Request.IsSecureConnection)
  {
      // 用Get方法取已存在的Cookie，不存在就不操作，不会触发自动创建
      var sessionCookie = Response.Cookies.Get("ASP.NET_SessionId");
      if (sessionCookie != null)
      {
          sessionCookie.Secure = true;
      }
  }
  

注意：如果你的站点同时支持HTTP和HTTPS访问，开启Secure标记后，HTTP请求和HTTPS请求的会话会完全隔离，属于浏览器安全策略的正常表现。如果需要会话统一，建议全站配置HTTP强制跳转到HTTPS。

内容的提问来源于stack exchange，提问作者Larissa