AJAX忽略.NET Session变量问题：MVC跨应用登录状态校验异常

这个问题我之前也碰到过，核心原因就是跨域AJAX请求默认不会携带Cookie——而你的.NET Session正是靠SessionID Cookie来关联用户状态的，iFrame能正常是因为浏览器允许同域（或信任的父域）iFrame共享Cookie，但AJAX跨域请求默认遵循同源策略，不会主动带上Cookie，所以后端拿不到正确的Session，自然校验失效了。给你几个具体的解决步骤：

1. 后端配置允许跨域携带凭证 #

首先要在你的登录MVC站点里开启CORS，并明确允许携带凭证（Credentials），同时指定允许的跨域站点（不能用*，因为带凭证的话通配符是不被浏览器允许的）：

.NET Core/.NET 5+ 示例 #

在Startup.cs的ConfigureServices方法里添加CORS策略：

services.AddCors(options =>
{
    options.AddPolicy("AllowTrustedSite",
        builder =>
        {
            builder.WithOrigins("https://your-other-site.com") // 替换成实际的跨域站点地址
                   .AllowAnyHeader()
                   .AllowAnyMethod()
                   .AllowCredentials(); // 关键：允许携带Cookie等凭证
        });
});

然后在Configure方法里启用这个策略：

app.UseCors("AllowTrustedSite");

.NET Framework 示例 #

可以在Web.config里配置CORS，或者在控制器上添加[EnableCors]特性：

[EnableCors(origins: "https://your-other-site.com", headers: "*", methods: "*", SupportsCredentials = true)]
public class AccountController : Controller
{
    // 你的CheckLoginStatus动作
}

2. 前端AJAX请求开启携带凭证 #

不管你用jQuery还是原生Fetch，都要明确设置携带凭证的选项，这样浏览器才会把SessionID Cookie一起发送：

jQuery AJAX 示例 #

$.ajax({
    url: "https://your-login-site.com/Account/CheckLoginStatus",
    type: "GET",
    xhrFields: {
        withCredentials: true // 关键：携带Cookie
    },
    success: function(response) {
        // 把返回的视图内容插入到页面对应位置
        $("#login-status-container").html(response);
    }
});

原生Fetch 示例 #

fetch("https://your-login-site.com/Account/CheckLoginStatus", {
    credentials: "include" // "include"表示跨域也携带凭证，"same-origin"仅同域时携带
})
.then(response => response.text())
.then(html => {
    document.getElementById("login-status-container").innerHTML = html;
});

3. 调整Session Cookie的SameSite属性 #

如果你的站点是HTTPS环境，需要确保Session Cookie的SameSite属性设置为None，同时开启Secure（仅HTTPS传输），否则浏览器可能会拒绝跨域携带这个Cookie：

.NET Core/.NET 5+ 示例 #

在Startup.cs的ConfigureServices里配置：

services.Configure<CookiePolicyOptions>(options =>
{
    options.MinimumSameSitePolicy = SameSiteMode.None;
    options.Secure = CookieSecurePolicy.Always; // 仅在HTTPS环境下启用
});

.NET Framework 示例 #

在Web.config的<system.web>节点下添加：

<sessionState cookieSameSite="None" />
<httpCookies requireSSL="true" />

4. 排查其他可能的拦截因素 #

• 检查是否有浏览器插件（比如隐私类插件）拦截了跨域Cookie，测试时可以暂时禁用插件试试；
• 如果是POST请求，还要注意Anti-Forgery Token的配置，但你这里是GET请求检查Session，大概率不需要；
• 确保两个站点的域名符合浏览器的Cookie跨域规则，比如都是同一父域下的子域名（如果是这种情况，也可以把Cookie的Domain设置为父域，提升兼容性）。

按照这几步配置完，跨域AJAX请求就能正确携带SessionID Cookie，后端也能正常校验登录状态了。

内容的提问来源于stack exchange，提问作者Aaron S