Cookie 與 Session 基礎知識與 ASP.NET 實務應用全解析

Cookie（客戶端）與 Session（伺服器端）是 Web 狀態管理的兩大基石，本文系統整理原理、設定、傳遞機制與常見問題。

核心差異對照

ASP.NET Web.config 設定

<sessionState mode="InProc" timeout="20" cookieless="true" 
    stateConnectionString="tcpip=localhost:42424" 
    sqlConnectionString="" />

• mode：InProc（進程內）、StateServer、SQLServer、Custom
• cookieless：true 將 SessionID 嵌入 URL，支援禁用 Cookie 的瀏覽器

常見問題解答

Q1：禁用 Cookie 後 Session 還能用嗎？

能。設定 cookieless="true"，SessionID 透過 URL 或 Form 傳遞。但 URL 暴露 SessionID 有安全風險，建議搭配 SSL。

Q2：Cookie 傳遞具體過程？

雙向透過 HTTP Header：

• Client → Server：Request.Headers["Cookie"] 包含所有 Cookie 鍵值對
• Server → Client：Response.Headers["Set-Cookie"] 設定單一 Cookie 屬性（值、過期、Domain、Path、HttpOnly、Secure）

可用 Fiddler、HttpWatch、Firebug 開發者工具觀察 Header 內容。

SessionID 與 Cookie 關係

預設 SessionID 存於 Cookie ASP.NET_SessionId，伺服器以此關聯 Session 狀態。若 cookieless=true，SessionID 改嵌入 URL 路徑（如 /(S(xyz))/page.aspx）。