ASP.NET Session 狀態模式完整比較：InProc、StateServer、SQLServer 與自訂供應器

Session 狀態模式總覽

web.config 設定：

<system.web>
  <sessionState mode="InProc | StateServer | SQLServer | Custom" 
                timeout="20" 
                cookieless="UseUri | UseCookies | AutoDetect | false"
                regenerateExpiredSessionId="true"
                ...>
  </sessionState>
</system.web>

四大內建模式深度比較

StateServer 設定詳解

<sessionState mode="StateServer" 
              stateConnectionString="tcpip=127.0.0.1:42424" 
              stateNetworkTimeout="30" />

• stateConnectionString：tcpip=IP:Port，遠端機器需開放防火牆埠。
• stateNetworkTimeout：網路逾時秒數，預設 30 秒。
• 服務啟動：services.msc → "ASP.NET State Service" → 啟動類型設為「自動」。
• 遠端連線需修改登錄：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aspnet_state\Parameters\AllowRemoteConnection = 1 (預設 0 僅本機)。

SQLServer 設定詳解

<sessionState mode="SQLServer" 
              sqlConnectionString="Data Source=127.0.0.1;Initial Catalog=ASPState;User ID=sa;Password=***;Application Name=MyApp" 
              allowCustomSqlDatabase="true" />

• 安裝腳本：aspnet_regsql.exe -S . -E -ssadd -sstype p (持久化至自訂資料庫 ASPState) 或 -sstype t (tempdb，重啟遺失)。
• allowCustomSqlDatabase="true" 允許非預設資料庫名稱。
• 資料表：ASPStateTempSessions、ASPStateTempApplications。

自訂 Session 供應器實作 (以 Redis 為例)

public class RedisSessionStateProvider : SessionStateStoreProviderBase
{
    private ConnectionMultiplexer _redis;
    private IDatabase _db;
    
    public override void Initialize(string name, NameValueCollection config)
    {
        var connStr = config["connectionString"] ?? "localhost:6379";
        _redis = ConnectionMultiplexer.Connect(connStr);
        _db = _redis.GetDatabase();
        base.Initialize(name, config);
    }
    
    public override SessionStateStoreData CreateNewStoreData(HttpContext context, int timeout)
    {
        return new SessionStateStoreData(new SessionStateItemCollection(), SessionStateUtility.GetSessionStaticObjects(context), timeout);
    }
    
    public override void CreateUninitializedItem(HttpContext context, string id, int timeout)
    {
        var key = "session:" + id;
        _db.StringSet(key, "", TimeSpan.FromMinutes(timeout));
    }
    
    public override SessionStateStoreData GetItem(HttpContext context, string id, out bool locked, out TimeSpan lockAge, out object lockId, out SessionStateActions actions)
    {
        locked = false; lockAge = TimeSpan.Zero; lockId = null; actions = SessionStateActions.None;
        var key = "session:" + id;
        var data = _db.StringGet(key);
        if (data.IsNullOrEmpty) return null;
        // 反序列化 SessionStateItemCollection (略)
        return Deserialize(data);
    }
    
    public override void SetAndReleaseItemExclusive(HttpContext context, string id, SessionStateStoreData item, object lockId, bool newItem)
    {
        var key = "session:" + id;
        var serialized = Serialize(item);
        _db.StringSet(key, serialized, TimeSpan.FromMinutes(item.Timeout));
    }
    
    // 其他必要覆寫：GetItemExclusive, ReleaseItemExclusive, RemoveItem, ResetItemTimeout, Dispose
}

註冊：

<sessionState mode="Custom" customProvider="RedisSessionProvider">
  <providers>
    <add name="RedisSessionProvider" type="MyApp.Providers.RedisSessionStateProvider, MyApp" connectionString="redis:6379" />
  </providers>
</sessionState>

效能與序列化考量

• InProc：物件直接存放，無序列化，**不可儲存不可序列化物件** (如 DbConnection、Thread、未標記 [Serializable] 的類別) — 但 InProc 不需序列化，故可存放任何物件 (風險：記憶體洩漏、型別安全)。
• StateServer / SQLServer / Custom：所有物件必須可序列化 (實作 ISerializable 或標記 [Serializable])，預設使用 BinaryFormatter。
• 大物件警示：Session 存放大型 DataTable、Entity 物件會嚴重拖慢序列化/網路/DB 寫入。建議：只存 ID/Key，實際資料用 Cache/資料庫查詢。

Cookieless Session (無 Cookie 模式)

<sessionState cookieless="UseUri" />

Session ID 嵌入 URL：//page.aspx。適用於拒絕 Cookie 的舊裝置，**但有安全風險 (Session ID 暴露於 URL、書籤、Referer、Log)**，現代應用**強烈不建議**使用。

選型決策矩陣

結語

ASP.NET Session 模式選擇本質是 **效能、可用性、維運成本、架構演進** 的權衡。InProc 最快但最脆弱；StateServer/SQLServer 提供進程外持久化但引入延遲與基礎設施依賴；Custom 供應器 (Redis 為首選) 則是現代分散式系統的標準解法。建議：新專案直接採用 Redis Custom Provider，兼具高效能、高可用、彈性擴展，並避免綁定 IIS/ASP.NET 執行環境。