ASHX 一般處理常式中正確讀取 Session 的方法

問題背景

預設 `<%@ WebHandler %>` 產生的類別僅實作 `IHttpHandler`，不支援 Session。直接呼叫 `context.Session` 會拋出 `NullReferenceException`。

解決方案：實作介面

• 唯讀 Session：實作 `IReadOnlySessionState`（標記介面，無方法）。
• 讀寫 Session：實作 `IRequiresSessionState`。

完整程式碼範本

using System;
using System.Web;
using System.Web.SessionState;

namespace MyApp.Handlers
{
    /// 

    /// 需要「讀寫」 Session 時實作 IRequiresSessionState
    /// 僅需「讀取」 Session 時實作 IReadOnlySessionState（效能略佳）
    /// 
    public class SecureHandler : IHttpHandler, IRequiresSessionState
    {
        public bool IsReusable => false; // 若有共用狀態請設 false

        public void ProcessRequest(HttpContext context)
        {
            // 1. 取得 Session 物件（已由 ASP.NET 自動載入）
            var session = context.Session;

            // 2. 安全讀取
            if (session["LoginUser"] is UserInfo user)
            {
                context.Response.ContentType = "application/json";
                context.Response.Write($"{{\"user\":\"{user.Account}\",\"role\":\"{user.Role}\"}}");
            }
            else
            {
                context.Response.StatusCode = 401;
                context.Response.Write("{\"error\":\"未登入或 Session 逾期\"}");
            }
        }
    }

    // 簡易用戶模型
    public class UserInfo
    {
        public string Account { get; set; }
        public string Role { get; set; }
    }
}

.ashx 標記宣告

<%@ WebHandler Language="C#" Class="MyApp.Handlers.SecureHandler" %>

常見錯誤與對策

效能提示

• 若 Handler 僅需讀取 Session（如驗證身分、取得用戶 ID），請改用 `IReadOnlySessionState`，ASP.NET 會略過 Session 鎖定，提升並發吞吐。
• 避免在 Handler 中存放大型物件至 Session，序列化/反序列化成本高。
• .NET Core / ASP.NET Core 中不再有 `IHttpHandler`，改用 Middleware 或 Minimal API，Session 透過 `HttpContext.Session` 直接存取。