为什么我的ASPX应用程序会频繁将登录用户自动登出？

核心原因列表 #

• InProc 会话模式本身的固有缺陷
  InProc模式的会话数据存储在 IIS 工作进程内存中，只要进程被回收，所有会话数据会直接清空，和你设置的timeout参数无关。触发 IIS 应用程序池回收的常见场景包括：
  • 应用程序池默认空闲超时（通常是20分钟）触发回收
  • 系统分配给工作进程的内存占用达到阈值触发回收
  • 配置了固定周期回收策略
  • 站点目录下web.config、bin目录内文件、Global.asax、App_Code目录代码被修改，触发应用程序域重启
  • IIS 应用程序池配置被修改、站点重启
• Forms 认证票据超时
  绝大多数 ASPX 应用的登录状态是基于 Forms 认证票据实现的，和 Session 是两套独立机制。如果只改了 Session 的超时，没有调整认证票据的有效期，票据过期后一样会被踢回登录页。需要检查web.config里的配置：

  <authentication mode="Forms">
    <forms loginUrl="Login.aspx" timeout="20" slidingExpiration="true" />
  </authentication>
  

  其中timeout是票据的默认有效期，slidingExpiration设为false时票据为固定有效期，不会随用户操作续期。
• 无Cookie会话的URL丢失问题
  你开启了cookieless="true"，此时 SessionID 会嵌入到站点 URL 中，如果操作过程中访问了不带 SessionID 的站点路径、或者URL被截断/修改，都会导致系统识别为新会话，直接判定为未登录。
• 代码逻辑主动销毁会话
  原有代码可能存在主动清空会话的逻辑，常见情况包括：
  • 权限校验失败时执行了Session.Abandon()或者清空了存储登录态的Session字段
  • 代码中动态覆盖了Session.Timeout配置，优先级高于web.config中的设置
  • 主动过期了Forms认证票据
• 负载均衡环境适配问题
  如果站点部署在多服务器负载均衡架构下，InProc模式的会话只存储在首次分配的服务器内存中，后续请求被转发到其他服务器时，会找不到对应会话数据，直接判定为未登录。

快速排查建议 #

1. 先将sessionState的mode改为StateServer（需要先开启系统的ASP.NET状态服务），先排除进程回收导致的会话丢失问题，验证是否恢复正常
2. 检查IIS应用程序池的「回收」和「进程模型」设置，关闭空闲超时、取消不必要的定期回收规则
3. 全局搜索代码中的Session.Abandon、FormsAuthentication.SignOut关键字，确认是否存在非预期的主动登出逻辑

内容的提问来源于stack exchange，提问作者Jason Mark