ASP.Net会话过期自动重定向问题：从SessionTimeout.aspx到Timeout.aspx

兄弟，你踩了ASP.NET Session_End事件的一个经典坑啊！先给你说清楚为什么会报错：

Session_End是服务器主动触发的事件——当会话超时或者被主动销毁时，服务器在后台悄悄执行这个方法，但此时根本没有对应的用户HTTP请求上下文！也就是说，这个时候HttpContext.Current是null，Response对象也不存在，自然会抛出你遇到的那两个错误：要么提示Response不在当前上下文，要么说对象引用为空。

那正确的姿势是什么？应该在用户下一次发起请求的时候检查会话状态，再做重定向。下面给你几个靠谱的实现方案：

方案一：用Global.asax的Application_BeginRequest事件（最简便） #

每次用户发请求，服务器都会先触发这个事件，我们在这里判断会话是否过期：

protected void Application_BeginRequest(object sender, EventArgs e)
{
    // 先排除静态资源和超时页面，避免无限重定向
    string[] excludedPaths = { "/timeout.aspx", "/favicon.ico", "/css/", "/js/", "/images/" };
    string currentPath = Request.Url.AbsolutePath.ToLower();
    bool isExcluded = excludedPaths.Any(path => currentPath.StartsWith(path));

    if (!isExcluded)
    {
        // 替换成你实际用来判断用户登录的Session键（比如Session["CurrentUser"]）
        if (Session != null && Session["SomeKey"] == null && Request.IsAuthenticated)
        {
            // 用false避免线程强制终止，再调用CompleteRequest结束请求处理
            Response.Redirect("~/timeout.aspx", false);
            Context.ApplicationInstance.CompleteRequest();
        }
    }
}

方案二：自定义页面基类（适合页面统一管理） #

如果你的项目里所有业务页面都继承同一个基类，那可以把检查逻辑放在基类的OnLoad方法里：

public class BasePage : Page
{
    protected override void OnLoad(EventArgs e)
    {
        base.OnLoad(e);
        
        // 跳过超时页面本身
        if (!Request.Url.AbsolutePath.EndsWith("timeout.aspx", StringComparison.OrdinalIgnoreCase))
        {
            // 同样替换成你的Session判断键
            if (Session["SomeKey"] == null && Request.IsAuthenticated)
            {
                Response.Redirect("~/timeout.aspx", false);
                Context.ApplicationInstance.CompleteRequest();
            }
        }
    }
}

之后所有业务页面都继承这个BasePage就行。

方案三：自定义IHttpModule（最通用，适合多项目复用） #

如果要做通用的会话超时处理模块，可以写一个HttpModule：

public class SessionTimeoutModule : IHttpModule
{
    public void Init(HttpApplication context)
    {
        context.BeginRequest += Context_BeginRequest;
    }

    private void Context_BeginRequest(object sender, EventArgs e)
    {
        HttpApplication app = (HttpApplication)sender;
        HttpContext context = app.Context;

        string[] excludedPaths = { "/timeout.aspx", "/favicon.ico", "/css/", "/js/", "/images/" };
        string currentPath = context.Request.Url.AbsolutePath.ToLower();
        bool isExcluded = excludedPaths.Any(path => currentPath.StartsWith(path));

        if (!isExcluded)
        {
            if (context.Session != null && context.Session["SomeKey"] == null && context.Request.IsAuthenticated)
            {
                context.Response.Redirect("~/timeout.aspx", false);
                app.CompleteRequest();
            }
        }
    }

    public void Dispose()
    {
        // 这里可以清理模块资源，暂时留空就行
    }
}

然后在Web.config里注册模块（注意区分.NET版本和IIS模式）：

<configuration>
  <!-- 传统IIS经典模式 -->
  <system.web>
    <httpModules>
      <add name="SessionTimeoutModule" type="你的命名空间.SessionTimeoutModule, 你的程序集名称"/>
    </httpModules>
  </system.web>
  <!-- IIS集成模式（推荐） -->
  <system.webServer>
    <modules>
      <add name="SessionTimeoutModule" type="你的命名空间.SessionTimeoutModule, 你的程序集名称" preCondition="managedHandler"/>
    </modules>
  </system.webServer>
</configuration>

几个关键注意点： #

• 一定要排除超时页面和静态资源，否则会陷入无限重定向循环！
• 用Response.Redirect(url, false)代替默认的true：true会强制终止当前线程，可能导致后续资源清理出问题；false只是发送重定向响应，再用CompleteRequest()正常结束请求。
• 检查Session时要先判断Session != null：有些静态资源请求不会初始化Session对象，直接访问会报错。

内容的提问来源于stack exchange，提问作者Raniel Quirante