IIS部署多套同代码网站Session互相清空无法同时使用该如何解决？

问题根因 #

该问题本质是同域名下Cookie名称冲突导致：浏览器的Cookie存储按域名匹配，不区分端口/子路径，两个站点默认Session Cookie、JWT认证关联Cookie的名称完全一致，后登录的站点返回的Cookie会直接覆盖前一个站点的同名Cookie。前一个站点后续请求携带的是后一个站点的Cookie，匹配不到自身存储的Session数据，就会被判定为未登录跳转首页。

解决步骤 #

1. 为不同站点配置独立的Session Cookie名称 #

修改两个站点的AddSession配置，设置差异化的Cookie名称，如果站点部署在同域名的不同子路径下，还可以额外指定Path进一步隔离：

services.AddSession(options =>
{
    options.IdleTimeout = TimeSpan.FromMinutes(300);
    options.Cookie.HttpOnly = true;
    // 两个站点此处配置不同的名称，比如站点1填.Session.Site1，站点2填.Session.Site2
    options.Cookie.Name = ".Session.你的站点唯一标识";
    // 同域名不同子路径部署时可额外指定Path
    // options.Cookie.Path = "/站点1路径";
});

2. 配置差异化的JWT关联Cookie名称 #

你开启了SaveToken = true配置，JWT中间件会将Token存储在Cookie中，同样需要为两个站点设置不同的Cookie名称：

.AddJwtBearer(x =>
{
    x.RequireHttpsMetadata = false;
    x.SaveToken = true;
    // 两个站点此处配置不同的JWT Cookie名称
    x.Cookie.Name = ".Jwt.你的站点唯一标识";
    x.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuerSigningKey = true,
        IssuerSigningKey = new SymmetricSecurityKey(key),
        ValidateIssuer = false,
        ValidateAudience = false,
        ValidateLifetime = true,       
    }; 
});

3. （可选）应用池隔离配置 #

如果两个站点当前共用同一个IIS应用池，建议拆分到不同应用池运行。默认Session是存储在进程内存中，不同应用池的进程内存互相隔离，能进一步避免Session串扰。如果后续需要分布式部署，可将Session存储到Redis、数据库等公共存储中，配合差异化的Cookie名称依然可以实现站点隔离。

内容的提问来源于stack exchange，提问作者lesiano