ASP.NET MVC/C#会话超时后注销并重定向至登录页问题

看起来你遇到的核心问题是在请求生命周期的错误阶段处理重定向，以及Ajax请求下服务器端重定向无法被浏览器自动处理。咱们一步步拆解问题，然后给出可行的解决方案：

为什么你的现有代码不生效？ #

1. Application_EndRequest时机太晚：这个事件是在请求完全处理完毕、响应即将发送给客户端时触发的。此时调用Response.Redirect()已经来不及——响应头可能已经发送，浏览器不会处理这个重定向指令。
2. Ajax请求的特殊性：对于异步Ajax请求，服务器返回302状态码时，浏览器不会自动跳转页面，而是会跟随重定向获取登录页的内容，但不会更新当前页面。
3. Session.Abandon()的行为：这个方法只是标记会话为“待销毁”，并不会立即清除Session Cookie，所以用户可能还会带着旧的Session ID继续请求，导致逻辑混乱。

正确的解决方案 #

我们需要在请求的早期阶段检测Session状态，并针对Ajax和普通请求分别处理，同时彻底清除会话痕迹：

1. 在Global.asax中添加Session超时检测（替换你的Application_EndRequest代码） #

使用Application_AcquireRequestState事件——这个事件在服务器获取Session之后触发，是判断Session状态的最佳时机：

protected void Application_AcquireRequestState(object sender, EventArgs e)
{
    var context = HttpContext.Current;
    // 排除登录页和静态资源，避免循环重定向
    var excludedPaths = new[] { "/Account/Login", "/Content/", "/Scripts/" };
    bool isExcluded = excludedPaths.Any(path => 
        context.Request.Path.StartsWith(path, StringComparison.OrdinalIgnoreCase));
    
    if (!isExcluded)
    {
        // 这里假设你用Session["UserId"]来标记用户是否登录，替换成你的实际登录标识
        if (context.Session != null && context.Session["UserId"] == null)
        {
            if (context.Request.IsAjaxRequest())
            {
                // 对Ajax请求返回401未授权状态和跳转指令，让前端处理
                context.Response.Clear();
                context.Response.StatusCode = 401;
                context.Response.ContentType = "application/json";
                context.Response.Write("{\"sessionTimeout\": true, \"redirectUrl\": \"/Account/Login\"}");
                context.Response.End(); // 终止请求，避免后续代码执行
            }
            else
            {
                // 普通请求直接重定向到登录页
                context.Response.Redirect("~/Account/Login", false);
                context.ApplicationInstance.CompleteRequest(); // 确保请求结束
            }
            
            // 彻底结束会话并清除Session Cookie
            context.Session.Abandon();
            if (context.Request.Cookies["ASP.NET_SessionId"] != null)
            {
                var sessionCookie = new HttpCookie("ASP.NET_SessionId")
                {
                    Value = string.Empty,
                    Expires = DateTime.Now.AddMonths(-1)
                };
                context.Response.Cookies.Add(sessionCookie);
            }
        }
    }
}

2. 前端处理Ajax请求的超时响应 #

因为Ajax请求不会自动跳转，我们需要在前端监听全局Ajax错误，当收到401状态时手动跳转：

// 用jQuery的全局Ajax事件监听（如果用其他框架，对应调整）
$(document).ajaxError(function(event, jqxhr) {
    if (jqxhr.status === 401) {
        try {
            const response = JSON.parse(jqxhr.responseText);
            if (response.sessionTimeout) {
                window.location.href = response.redirectUrl;
            }
        } catch (e) {
            // 解析失败时直接跳转到登录页
            window.location.href = "/Account/Login";
        }
    }
});

额外注意事项 #

• 确保你的Session模式是InProc（默认模式），如果是StateServer或SQLServer，Session_End事件不会触发，只能通过请求时的Session变量判断超时。
• 记得在Web.config中配置正确的Session超时时间：

  <system.web>
      <sessionState timeout="20" /> <!-- 单位：分钟 -->
  </system.web>
  

内容的提问来源于stack exchange，提问作者Mik3i4a5