多用户ASP.NET站点中变量管理的最佳实践是什么

串值问题根因 #

你遇到的跨会话变量串值问题，90%以上的概率是你自定义的CurrentSession类中使用了static修饰符定义公共变量。
桌面端开发中静态变量归当前用户的应用进程独有，不会出现跨用户共享的问题，但ASP.NET运行在服务端的统一应用程序域内，静态变量的生命周期和应用程序池绑定，所有访问站点的用户会共用同一个静态变量实例，自然会出现A用户的查询结果跑到B用户页面的情况。

该场景下的最优变量存储方案 #

不需要用Cookie替代现有方案，根据变量的生效范围选择对应存储介质即可：

• 如果变量仅需要在当前页面的多次回发（PostBack）期间生效，优先使用ViewState存储。数据保存在当前页面的视图状态中，仅对当前用户、当前页面生效，不会跨页面也不会跨用户，同时不会占用服务端内存。
• 如果变量需要在同一个用户的多个页面间共享，直接使用ASP.NET官方提供的Session对象即可。官方Session天然按用户会话隔离，每个用户的Session数据独立存储在服务端，默认通过客户端Cookie关联会话ID，不存在串值风险，完全可以替代你自己实现的CurrentSession类。
• Cookie仅适合存储体积小（最大4KB）、非敏感、需要长期在客户端留存的数据，比如用户的个性化页面配置，不适合存储AD查询结果这类临时业务数据，且存在客户端被篡改、泄露敏感信息的风险。

ASP.NET 页面变量管理核心规则 #

• 仅使用静态变量存储所有用户共用的全局不变配置（如站点域名、全局开关），绝对不要用静态变量存储任何用户独有的业务数据。
• 临时页面数据优先存ViewState，跨页面用户数据存Session，全局公共数据存Application对象或者配置文件。
• 敏感数据禁止存储在Cookie、LocalStorage等客户端存储介质中，必须存服务端。

内容的提问来源于stack exchange，提问作者user2312463