AspNet Identity与OWIN超时设置失效问题求助

嘿，我碰到过好多EpiServer搭ASP.NET Identity时的超时坑，你这个30分钟就跳登录的情况，大概率是几个默认配置在“抢控制权”，咱们一步步排查解决：

1. 先盯紧OWIN Cookie认证的配置 #

既然你web.config里设了<authentication mode="None">，说明用的是OWIN cookie认证而非传统Forms认证，而OWIN默认的超时就是30分钟！所以得在Startup.cs里的OWIN配置块里显式覆盖这个默认值：

public void ConfigureAuth(IAppBuilder app)
{
    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
        LoginPath = new PathString("/Account/Login"),
        // 直接把超时设为4小时
        ExpireTimeSpan = TimeSpan.FromHours(4),
        // 开启滑动过期——用户活跃时自动重置超时时间
        SlidingExpiration = true,
        // 同步Cookie本身的过期时间，避免前后不一致
        Cookie = new CookieOptions
        {
            Expires = DateTimeOffset.UtcNow.AddHours(4),
            HttpOnly = true,
            // 生产环境建议设为true，强制HTTPS传输Cookie
            Secure = HttpContext.Current.Request.IsSecureConnection
        },
        // 还要检查SecurityStamp的验证间隔，别让它拖后腿
        Provider = new CookieAuthenticationProvider
        {
            OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
                validateInterval: TimeSpan.FromHours(4),
                regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
        }
    });
}

另外要注意OWIN中间件的注册顺序：一定要把你的认证配置放在EpiServer的初始化代码之前，也就是先调用ConfigureAuth(app)，再调用app.UseEpiServer()，不然EpiServer的默认配置会覆盖你的设置。

2. 调整EpiServer自身的会话/认证配置 #

EpiServer有自己一套会话管理逻辑，哪怕你用了ASP.NET Identity，它的内部配置也可能偷偷生效，得在web.config里改这两处：

a. EpiServer框架的会话与认证设置 #

找到<episerver.framework>节点，添加或修改会话和认证超时：

<episerver.framework>
  <!-- 会话超时设为240分钟（4小时） -->
  <session state="InProc" timeout="240" />
  <security>
    <authentication>
      <!-- 这里的forms配置是给EpiServer内部逻辑用的，也要同步设为4小时 -->
      <forms loginUrl="/Account/Login" timeout="240" slidingExpiration="true" />
    </authentication>
  </security>
</episerver.framework>

b. ASP.NET核心会话超时 #

在<system.web>节点下，确保全局会话超时也匹配：

<system.web>
  <!-- 同样设为240分钟 -->
  <sessionState mode="InProc" timeout="240" />
</system.web>

如果你的应用用的是StateServer或SQL Server存储会话，记得同步调整对应服务的超时设置。

3. 排查IIS应用程序池的闲置超时 #

有时候问题根本不在代码配置里，而是IIS应用池的闲置超时默认是20分钟，超过时间没请求就会回收应用池，导致所有会话丢失，看起来就像是超时了。

调整方法：

• 打开IIS管理器，找到你的应用程序池
• 右键→高级设置
• 找到「闲置超时（分钟）」，改成240（4小时）或者你需要的时长
• 顺便检查「定期时间间隔（分钟）」，如果不需要定期回收可以设为0，或者设比240大的值

4. 验证配置是否生效 #

改完所有配置后，重启站点和应用池，然后用浏览器开发者工具确认：

• 登录后按F12打开控制台，切换到「应用程序」→「Cookie」
• 找到你的认证Cookie（一般叫.AspNet.ApplicationCookie）
• 查看「Expires/Max-Age」字段，应该是当前时间+4小时，如果是，说明配置生效了；如果还是30分钟，回头检查Startup类的代码顺序，或者有没有其他地方覆盖了Cookie配置。

内容的提问来源于stack exchange，提问作者Ken