IE访问内网ASP.NET MVC站点时ASP.NET_SessionId Cookie未发送问题

这问题我之前帮同事排查过类似的，结合你给出的日志差异和环境情况，核心问题大概率出在IE对Intranet站点的特殊Cookie规则，或者ASP.NET的Session Cookie配置上，给你几个具体的排查方向：

1. 检查IE本地Intranet区域的Cookie权限 #

你提到已经确认互联网站点允许Cookie，但IE对本地Intranet区域的Cookie是单独管控的，这是最常见的原因：

• 打开IE的「Internet选项」→「安全」选项卡，选中「本地Intranet」，点击「自定义级别」
• 找到「Cookie」相关设置，确保「允许会话Cookie」和「允许存储的Cookie」都设为「启用」（先设为启用测试，后续再调整为合适的权限）
• 同时确认测试服务器Server1是否被正确识别为Intranet站点：点击「站点」→「高级」，手动添加http://Server1到列表中——有时候IE会把不带点的短主机名（比如Server1）误归到互联网区域，导致Intranet的Cookie规则不生效。

2. 排查ASP.NET Session Cookie的Domain配置差异 #

开发服务器用localhost时，ASP.NET默认生成的Session Cookie Domain是空的，IE会正常发送；但测试服务器如果配置了错误的Domain，会导致IE拒绝携带Cookie：

• 打开应用的web.config，查找<httpCookies>节点，看是否设置了domain属性（比如<httpCookies domain=".yourcompany.com" />）。如果测试服务器的主机名是Server1（不带点），这种带点的Domain会让IE认为Cookie不属于当前站点，自然不会发送。建议暂时注释掉这个配置，让ASP.NET自动适配主机名，测试是否恢复正常。
• 同时检查<sessionState>节点的cookieDomain属性，同样的，如果值和测试服务器的主机名不匹配，也会导致Cookie无法被携带。

3. 关闭IE的增强保护模式试试 #

IE的增强保护模式（Enhanced Protected Mode）会对Intranet站点的Cookie发送施加额外限制：

• 打开「Internet选项」→「高级」选项卡，找到「安全」部分，取消勾选「启用增强保护模式」（需要重启IE生效），然后再测试请求是否携带Session Cookie。

4. 检查Session的SSL要求配置 #

如果测试服务器的web.config里<sessionState>设置了requireSSL="true"，但站点是通过HTTP协议访问的，IE会拒绝发送带有Secure属性的Cookie（因为Secure要求Cookie只能通过HTTPS传输）：

• 打开web.config，查找<sessionState>节点，确认requireSSL是否为false（默认值是false），如果是true，改成false后重新部署测试。

5. 确认Session是否被正确初始化 #

有时候测试服务器上的应用可能没有触发Session初始化，导致ASP.NET根本没生成Session Cookie：

• 在应用首页的控制器方法里添加一行代码：Session["TestInit"] = "1";，主动触发Session初始化。然后访问站点，查看响应头里是否有Set-Cookie: ASP.NET_SessionId=xxx的字段。如果响应里没有这个头，说明Session没被初始化，IE自然不会发送对应的Cookie。

内容的提问来源于stack exchange，提问作者ARV