表单10分钟内超时，设置120分钟会话超时仍失效求助

安全阿岳

2026-5-25

解决Forms认证超时配置不生效的问题

嗨，我明白你遇到的麻烦了——明明把Forms认证的超时时间设成了120分钟，但填表单跳页回来就被踢去登录，实际只有10分钟有效期。这种配置不生效的情况，多半是有其他隐藏的设置在捣乱，我给你列几个最常见的排查点：

检查是否存在重复/嵌套的认证配置
有时候项目里的子目录或者其他配置文件（比如web.debug.config、web.release.config）里也有<authentication>节点，会覆盖根web.config的设置。你可以全局搜一下<authentication mode="Forms">，看看是不是有别的地方偷偷把timeout改回10分钟了。
确认Session超时和Forms超时匹配
默认Session超时是20分钟，但如果你的项目里把Session超时设成了10分钟，哪怕Forms认证没过期，Session失效也会导致系统要求重新登录。记得在<system.web>里加上<sessionState timeout="120"/>，让它和Forms超时保持一致。
检查machineKey的配置细节
你已经配置了machineKey，但要注意：如果是多服务器部署（比如负载均衡），所有服务器的validationKey和decryptionKey必须完全相同，不然不同服务器生成的认证票据无法互相识别，看起来就像超时了。另外确保machineKey是放在<system.web>节点下，位置没搞错。
明确设置slidingExpiration属性
默认这个属性是true（用户有操作就重置超时时间），但如果不小心被设成false，那超时时间就是从登录那一刻固定算120分钟，不管中间有没有操作。建议你把配置写全：
```
<forms timeout="120" slidingExpiration="true" cookieless="UseCookies"/>
```
排查IIS应用池的回收设置
如果你的IIS应用池设置了10分钟自动回收，那回收后所有的Session和认证票据都会失效，用户自然要重新登录。去IIS管理器里看看应用池的回收规则，把回收时间调得比120分钟长，或者改成基于其他条件回收。
验证浏览器Cookie的存储情况
有时候浏览器的隐私设置会限制Cookie的有效期，或者自动清除Cookie。你可以打开浏览器的开发者工具，查看站点的Cookie，看看Forms认证的Cookie（默认叫.ASPXAUTH）的过期时间是不是120分钟后。

给你一个参考的完整配置片段，你可以对照着调整：

<system.web>
  <machineKey validationKey="7F962D9FAC5BA3E79A71E722B0FD79BAF52618501DABB750004795CFFDF1AC6BD..." 
              decryptionKey="你的解密密钥" 
              validation="SHA1" 
              decryption="Auto"/>
  <authentication mode="Forms">
    <forms loginUrl="~/Account/Login" 
           timeout="120" 
           slidingExpiration="true" 
           cookieless="UseCookies"/>
  </authentication>
  <sessionState mode="InProc" timeout="120"/>
</system.web>

先从Session超时和应用池回收这两点查起吧，这是最容易踩的坑！

内容的提问来源于stack exchange，提问作者chetan kambli