.NET Framework 4.7.2应用中如何实现.NET Identity会话超时？

一、为什么web.config的<sessionState>配置不生效？ #

.NET Identity依赖OWIN的Cookie认证机制，和传统ASP.NET Session是两套独立的会话管理体系。单独配置<sessionState>只会影响传统Session的生命周期，无法触发Identity认证会话的超时逻辑，这就是你配置后没效果的原因。

二、OWIN + .NET Identity的会话超时配置方法 #

1. 核心Cookie认证超时配置 #

在OWIN启动类（通常是Startup.Auth.cs）中，找到UseCookieAuthentication的配置节点，添加超时相关参数：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    // 设置会话超时时长（测试用2分钟，正式环境建议15-30分钟）
    ExpireTimeSpan = TimeSpan.FromMinutes(2),
    // 滑动过期：用户有活动时自动延长超时时间（符合OWASP建议，平衡安全与体验）
    SlidingExpiration = true,
    // 可选：开启SecurityStamp验证，用户身份变更（如改密码、换角色）时自动失效旧会话
    Provider = new CookieAuthenticationProvider
    {
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30),
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
    }
});

2. 同步传统Forms认证超时（若混用） #

如果应用同时使用了传统Forms认证，需要在web.config中同步配置，避免会话逻辑不一致：

<system.web>
    <authentication mode="Forms">
        <forms loginUrl="~/Account/Login" timeout="2" slidingExpiration="true" />
    </authentication>
    <!-- 传统Session配置可保留，但不影响Identity会话 -->
    <sessionState timeout="2" />
</system.web>

3. 手动触发会话失效 #

如果需要主动让用户会话失效（比如点击退出按钮），调用以下代码：

// 在Controller中调用
AuthenticationManager.SignOut(DefaultAuthenticationTypes.ApplicationCookie);
// 或通过HttpContext直接操作OWIN上下文
HttpContext.GetOwinContext().Authentication.SignOut(DefaultAuthenticationTypes.ApplicationCookie);

三、超时后的预期行为配置 #

1. 自动跳转登录页：
   配置中的LoginPath会在用户访问需要授权的页面时，自动重定向到登录页，同时原请求URL会作为ReturnUrl参数传递，方便用户登录后返回原页面。

2. AJAX请求的特殊处理：
   默认超时后AJAX请求会返回302重定向，前端无法正确识别。可以通过OnApplyRedirect配置，针对AJAX请求返回401状态码：

OnApplyRedirect = ctx =>
{
    if (!IsAjaxRequest(ctx.Request))
    {
        ctx.Response.Redirect(ctx.RedirectUri);
    }
    else
    {
        ctx.Response.StatusCode = 401;
    }
}

// 辅助方法判断是否为AJAX请求
private bool IsAjaxRequest(IOwinRequest request)
{
    var query = request.Query;
    if (query != null && query["X-Requested-With"] == "XMLHttpRequest")
        return true;
    
    var headers = request.Headers;
    return headers != null && headers["X-Requested-With"] == "XMLHttpRequest";
}

四、页面缓存的风险与解决 #

未禁止敏感页面缓存会导致用户会话超时后，浏览器仍能从缓存加载已授权页面，违反OWASP会话管理要求，必须禁用缓存：

1. 控制器/Action级配置 #

给敏感页面的控制器或Action添加缓存禁用特性：

[OutputCache(NoStore = true, Duration = 0, VaryByParam = "*")]
public class SecureController : Controller
{
    // 敏感业务逻辑Action
}

2. 全局配置（推荐） #

在Global.asax的Application_BeginRequest方法中，针对敏感路径全局禁用缓存：

protected void Application_BeginRequest()
{
    if (Request.IsAuthenticated && Request.Path.StartsWith("/Secure")) // 替换为你的敏感路径前缀
    {
        Response.Cache.SetCacheability(HttpCacheability.NoCache);
        Response.Cache.SetNoStore();
        Response.Cache.SetExpires(DateTime.UtcNow.AddMinutes(-1));
    }
}

3. Web.config路径级配置 #

针对特定目录直接在配置文件中禁用缓存：

<location path="Secure">
    <system.webServer>
        <httpProtocol>
            <customHeaders>
                <add name="Cache-Control" value="no-cache, no-store, must-revalidate" />
                <add name="Pragma" value="no-cache" />
                <add name="Expires" value="0" />
            </customHeaders>
        </httpProtocol>
    </system.webServer>
</location>

五、额外的OWASP会话管理建议 #

• 启用Cookie Secure属性：仅在HTTPS下传输Cookie，防止明文泄露：

  CookieSecure = CookieSecureOption.Always,
  

• 保持HttpOnly属性开启：防止XSS攻击窃取Cookie（默认已开启，建议显式配置）：

  CookieHttpOnly = true,
  

• 合理设置超时时长：根据应用敏感度调整，OWASP建议办公类应用15-30分钟，金融类等高敏感应用缩短至5-10分钟。

内容的提问来源于stack exchange，提问作者Martin Vaughan