如何为ASP.NET用户创建唯一会话？解决会话共享串登问题

兄弟，你遇到的这个问题典型得不能再典型了——你的SessionManager类里肯定误用了静态字段来存储用户会话数据，静态成员是应用域全局共享的，所有用户都会共用这一块内存，可不就是一个人登出全登出、数据串来串去嘛！

问题根源 #

看你贴的代码片段里有private static String USER_KEY = "user";，这个常量本身没问题，但如果你的类里还有类似private static User _currentUser这种静态字段来存用户信息，那就是祸根了。静态字段不属于任何单个用户的会话，是所有请求共享的，用户A登录赋值后，用户B再登录就会覆盖这个值，刷新页面自然就串了。

修正方案：依赖ASP.NET内置Session机制 #

正确的做法是用ASP.NET提供的HttpContext.Current.Session来存储每个用户的专属数据，它会自动为每个用户维护独立的会话容器。给你改好的SessionManager代码：

public class SessionManager
{
    // 用const定义固定常量更规范
    private const string USER_KEY = "user";

    // 获取当前登录用户：从当前用户的Session中读取
    public static User GetCurrentUser()
    {
        var context = HttpContext.Current;
        // 先判断上下文和Session是否存在，避免空引用
        if (context?.Session == null)
            return null;
        
        return context.Session[USER_KEY] as User;
    }

    // 设置当前登录用户：存入当前用户的Session
    public static void SetCurrentUser(User user)
    {
        var context = HttpContext.Current;
        if (context?.Session != null)
        {
            context.Session[USER_KEY] = user;
        }
    }

    // 登出操作：清除当前用户Session里的用户信息
    public static void Logout()
    {
        var context = HttpContext.Current;
        if (context?.Session != null)
        {
            context.Session.Remove(USER_KEY);
            // 如果需要彻底销毁会话，可以加这句：
            // context.Session.Abandon();
        }
    }
}

关键注意点 #

• 绝对不要用静态字段存储用户的会话数据，除非你真的想做全局共享的配置。
• HttpContext.Current.Session是每个用户请求独有的，ASP.NET会通过Cookie（或URL重写）来区分不同用户的Session，不用你自己操心。
• 一定要判断HttpContext.Current和Session是否为null，比如在后台任务、非HTTP请求场景下，这些对象可能不存在。

额外排查项 #

1. 检查Web.config的Session配置，确保模式正确（开发环境用InProc就行，生产多服务器的话要换StateServer或SQLServer）：

<system.web>
  <sessionState mode="InProc" timeout="20" />
</system.web>

2. 检查其他代码里有没有误用静态变量存用户数据，比如全局缓存没按SessionId区分。
3. 登录/登出逻辑要对应调用SetCurrentUser和Logout，别再给静态字段赋值了。

内容的提问来源于stack exchange，提问作者user9570515