仅IIS Express中生产应用每次请求丢失会话值问题求助

结合你描述的场景——Win10安全更新后出现、仅IIS Express环境受影响、高版本浏览器会话丢失但低版本IE正常，核心原因几乎肯定是Cookie的SameSite属性配置不兼容，或是IIS Express默认HTTP配置导致会话Cookie无法被浏览器正确携带。下面是具体的排查和解决步骤：

1. 配置会话Cookie的SameSite属性 #

Win10的安全更新后，现代浏览器（包括IE10+）会强制校验Cookie的SameSite属性，而IIS Express默认未配置该属性，导致会话Cookie被浏览器拦截，每次请求都会触发新会话创建。

你可以在应用的web.config中添加如下配置，强制会话Cookie使用兼容的SameSite值：

<system.web>
  <sessionState mode="InProc" cookieless="false" timeout="20">
    <cookieSettings sameSite="None" requireSSL="false" />
  </sessionState>
</system.web>

注意：如果你的IIS Express启用了HTTPS，需将requireSSL设为true；若为HTTP本地环境，设为false才能让SameSite=None生效（现代浏览器要求SameSite=None必须搭配Secure，仅本地HTTP例外）。

2. 检查IIS Express的站点Cookie传递配置 #

IIS Express的默认站点配置可能限制Cookie传递，你可以打开applicationhost.config文件（通常路径为C:\Users\<你的用户名>\Documents\IISExpress\config），确认站点配置未禁用Cookie：

<site name="你的应用站点名" id="1">
  <application path="/" applicationPool="Clr4IntegratedAppPool">
    <virtualDirectory path="/" physicalPath="你的应用物理路径" />
  </application>
  <bindings>
    <binding protocol="http" bindingInformation="*:端口号:localhost" />
  </bindings>
</site>

同时检查应用web.config中是否存在自定义的Cookie拦截逻辑，比如错误修改Response.Cookies的代码。

3. 确保WCF调用不干扰ASP.NET会话 #

由于你的应用调用WCF服务，需确认WCF客户端配置不会破坏ASP.NET会话Cookie：

• 在web.config的WCF配置中启用ASP.NET兼容模式：

<system.serviceModel>
  <serviceHostingEnvironment aspNetCompatibilityEnabled="true" />
</system.serviceModel>

• 检查WCF请求是否会正确携带ASP.NET会话Cookie，避免调用过程中覆盖或清除会话Cookie。

4. 验证IE10/11的Cookie策略设置 #

对于IE10/11，可以手动检查浏览器的Cookie配置：

• 打开IE的「Internet选项」→「隐私」→「高级」，确保未勾选「覆盖自动Cookie处理」，或已设置同时接受第一方和第三方Cookie。
• IE10+已支持SameSite属性，所以步骤1的配置是解决该版本浏览器问题的关键。

5. 更新IIS Express到最新版本 #

旧版本的IIS Express对现代Cookie属性支持不足，尝试更新到最新版本，确保它能正确处理SameSite等新的Cookie规则。

内容的提问来源于stack exchange，提问作者Sundar