ASP.NET Core 2.0无法延长会话超时时长问题求助

我碰到过好几个开发者遇到和你一模一样的问题：明明在代码里把会话超时设得很长，实际却总是30分钟左右就失效，但把超时时间改短到1分钟又能正常工作。下面给你梳理几个最常见的坑和对应的解决办法：

1. 先查IIS应用程序池的空闲超时设置 #

这绝对是最容易踩的坑！默认情况下，IIS应用程序池的空闲超时时间是20分钟——也就是说，如果你的网站在20分钟内没有任何用户请求，应用池就会自动回收，内存里的所有Session数据都会被清空，不管你代码里设置了多久的Session超时。

调整步骤： #

• 打开IIS管理器，找到你的网站对应的应用程序池
• 右键选择「高级设置」
• 在「进程模型」下找到「空闲超时(分钟)」，把它改成比你设置的Session超时更长的时间（比如你要180分钟的Session，就设成200分钟）
• 顺带检查「回收」下的「固定时间间隔(分钟)」，默认是1740分钟（29小时），如果被改成了30分钟也会导致频繁回收，记得改回合理值

2. 更换Session的存储方式（避开内存存储的局限性） #

ASP.NET Core默认用DistributedMemoryCache存储Session数据，这种方式把Session存在应用进程的内存里。一旦应用池回收或者服务器重启，所有Session都会丢失。如果你设置的Session超时比应用池的存活时间长，肯定会提前失效。

生产环境推荐方案： #

改用分布式缓存，比如Redis或者SQL Server缓存：

• Redis缓存配置示例：

  services.AddStackExchangeRedisCache(options =>
  {
      options.Configuration = "localhost:6379"; // 你的Redis服务地址
      options.InstanceName = "MyAppSession";
  });
  services.AddSession(options =>
  {
      options.IdleTimeout = TimeSpan.FromMinutes(180);
      options.Cookie.HttpOnly = true;
      options.Cookie.IsEssential = true;
      options.Cookie.SlidingExpiration = true;
  });
  

• SQL Server缓存配置示例：
  先运行官方提供的缓存表创建脚本，再配置：

  services.AddDistributedSqlServerCache(options =>
  {
      options.ConnectionString = Configuration.GetConnectionString("CacheDB");
      options.SchemaName = "dbo";
      options.TableName = "SessionCache";
  });
  services.AddSession(options =>
  {
      options.IdleTimeout = TimeSpan.FromMinutes(180);
      // 其他Cookie配置
  });
  

3. 检查Session Cookie的配置细节 #

有时候Session本身的超时设置没问题，但Cookie的配置限制了有效期：

• 确保options.Cookie.SlidingExpiration设为true（默认就是true），这样用户每次有活动，Cookie的有效期会自动延长
• 不要手动设置options.Cookie.Expires，固定过期时间会覆盖IdleTimeout的滑动过期逻辑
• 确认Cookie的HttpOnly和IsEssential属性设置正确，避免被浏览器拦截或禁用

完整的Session配置示例（注意中间件顺序）：

public void ConfigureServices(IServiceCollection services)
{
    // 先添加分布式缓存（必须在AddSession之前）
    services.AddStackExchangeRedisCache(...);
    // 配置Session
    services.AddSession(options =>
    {
        options.IdleTimeout = TimeSpan.FromMinutes(180);
        options.Cookie.HttpOnly = true; // 防止客户端脚本访问，提升安全性
        options.Cookie.IsEssential = true; // 确保用户拒绝非必要Cookie时Session仍可用
        options.Cookie.SlidingExpiration = true;
    });

    // 其他服务配置，比如AddMvc
    services.AddMvc();
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 关键：UseSession必须放在UseMvc之前！
    app.UseSession();
    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

4. 配置数据保护密钥的持久化（生产环境必备） #

ASP.NET Core用数据保护来加密Session Cookie，如果生产环境没配置密钥持久化，每次应用池回收都会重新生成密钥。这会导致之前加密的Session Cookie无法解密，服务器会直接认为Session不存在，看起来就像Session过期了。

配置示例： #

services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\MyApp\DataProtectionKeys")) // 密钥存储路径
    .SetDefaultKeyLifetime(TimeSpan.FromDays(90)); // 密钥有效期

注意要确保应用程序池的身份账户对这个目录有读写权限。

内容的提问来源于stack exchange，提问作者Rupesh Kumar