.NET Session 狀態服務器完整配置指南與實戰經驗總結

核心概念：Session、SessionID 與 Cookie 的關係

Session 數據存儲於服務端，客戶端需攜帶唯一標識 SessionID 以關聯會話。SessionID 預設存放於 Cookie（名為 ASP.NET_SessionId）中，屬會話級 Cookie（瀏覽器關閉失效）。每次 HTTP 請求自動攜帶此 Cookie，服務端據此獲取對應 Session 數據。

常見誤區：初級開發者常以為 Session 與 Cookie 無關。實則 SessionID 依賴 Cookie 傳遞。若應用大量寫入 Cookie，可能導致瀏覽器 Cookie 數量/大小超限，致使 SessionID Cookie 被擠出或無法寫入，引發 Session 丟失。

生產環境保護 SessionID 的實用代碼模式

public bool SetCookie(int day)
{
    string cookieName = GetType().ToString();
    HttpCookie sessionCookie = null;

    // 1. 備份當前請求中的 SessionID
    if (HttpContext.Current.Request.Cookies["ASP.NET_SessionId"] != null)
    {
        string sessionId = HttpContext.Current.Request.Cookies["ASP.NET_SessionId"].Value;
        sessionCookie = new HttpCookie("ASP.NET_SessionId") { Value = sessionId };
    }

    // ... 中間業務邏輯省略 ...

    // 2. 防禦性重寫：若 Cookie 總數超限(>20)，優先確保 SessionID 寫入響應
    if (HttpContext.Current.Request.Cookies.Count > 20 && sessionCookie != null && !string.IsNullOrEmpty(sessionCookie.Value))
    {
        HttpContext.Current.Response.Cookies.Remove("ASP.NET_SessionId");
        HttpContext.Current.Response.Cookies.Add(sessionCookie);
    }
    return true;
}

此模式確保高負載、多 Cookie 場景下 SessionID 不丟失。

ASP.NET 五種 Session 狀態模式對比

本文重點講解 StateServer 與 SQLServer 兩種分佈式模式的搭建與優化。

StateServer 模式搭建步驟

1. 服務端配置 (運行 aspnet_state.exe 的機器)

• 啟動服務：services.msc 中找到 ASP.NET State Service，啟動類型改為 自動 並啟動。
• 註冊表允許遠程連接：
  路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aspnet_state\Parameters
  新建/修改 DWORD 值：AllowRemoteConnection = 1 (0=僅本機)
  確認 Port = 42424 (十進制，預設即此)。
• 防火牆開放 TCP 42424 端口。

2. 客戶端 Web.config 配置

<configuration>
  <system.web>
    <sessionState 
        mode="StateServer"
        stateConnectionString="tcpip=192.168.1.100:42424" 
        cookieless="false" 
        timeout="60" />
  </system.web>
</configuration>

• stateConnectionString：指向狀態服務器 IP:Port。
• cookieless="false"：使用 Cookie 傳遞 SessionID (推薦)。設為 true 或 UseUri 會將 SessionID 嵌入 URL，影響 SEO 且有安全風險。
• timeout：滑動過期時間(分鐘)。

SQLServer 模式搭建步驟

1. 數據庫準備 (兩種方式擇一)

方式 A：執行 SQL 腳本 (適用所有版本，含 1.x)

• 腳本位置：C:\Windows\Microsoft.NET\Framework\[版本號]\
• InstallSqlState.sql：創建默認數據庫 ASPState (含 ASPStateTempSessions, ASPStateTempApplications 表)，直接執行即可。
• InstallSqlStateTemplate.sql：自定義數據庫名。需將腳本中 [DatabaseNamePlaceHolder] 替換為目標名稱後執行。

方式 B：使用 aspnet_regsql.exe 工具 (推薦 .NET 2.0+)

aspnet_regsql.exe -S . -U sa -P 123456 -ssadd -sstype p

• -S：SQL 實例 (「.」表本機)
• -U/-P：SQL 登錄賬密；或用 -E 走 Windows 驗證
• -ssadd：添加 Session 數據庫；-ssremove 移除
• -sstype：t=tempdb (重啟丟失) | p=ASPState (持久化，**生產推薦**) | c=自定義庫 (需配合 -d 指定名稱)

2. 客戶端 Web.config 配置

使用默認 ASPState 數據庫：

<sessionState 
    mode="SQLServer"
    sqlConnectionString="server=192.168.1.100; uid=sa; pwd=123456;" />

使用自定義數據庫 (需 allowCustomSqlDatabase="true")：

<sessionState 
    mode="SQLServer"
    allowCustomSqlDatabase="true"
    sqlConnectionString="server=192.168.1.100; Database=MyAspState; uid=sa; pwd=123456;" />

關鍵權限：連接字符串用戶必須擁有 ASPState (或自定義庫) 和 tempdb 兩個庫的 db_owner 權限。

實戰經驗與避坑指南 (精華總結)

StateServer 模式

1. MachineKey 必須一致：叢集中所有 Web 服務器 <machineKey> 配置完全相同 (validationKey, decryptionKey, validation, decryption)，用於加解密序列化數據。
2. 對象必須可序列化：存入 Session 的類需標記 [Serializable] 或實現 ISerializable。
3. IIS Metabase 路徑大小寫敏感一致：如 \LM\W3SVC\2 在所有節點完全一致。
4. 確認 HttpModule 存在：Machine.config/Web.config 中 <httpModules> 包含 SessionStateModule。
5. 不支持負載均衡：StateServer 單點，高併發建議改用 SQLServer 或 Redis Custom 模式。

SQLServer 模式

1. 同樣要求 可序列化、MachineKey 一致、IIS 路徑一致。
2. SQL Agent 必須運行：過期 Session 清理由 SQL Agent 定時任務執行，若未啟動會導致數據庫無限增長。
3. 自定義庫時連接字符串必須包含 Database=xxx 並開啟 allowCustomSqlDatabase。

Session 通用特性

• 無法直接在 ASP.NET 與經典 ASP 間共享 Session (需微軟特定方案)。
• 不同應用程序/虛擬目錄間預設不共享 Session。
• 過期為 滑動時間 (每次請求重置計時器)。
• 存儲值類型 (int, string, struct) 性能最優，存儲複雜對象需序列化開銷大。

SessionID 行為細節

1. 可設 cookieless="UseUri" 嵌入 URL (不推薦)。
2. Session 過期/清除後，SessionID **不變** (存瀏覽器 Cookie)，瀏覽器不關閉則請求頭仍攜帶舊 ID，服務端會創建新 Session 數據綁定同一 ID。
3. 關閉瀏覽器再訪問，SessionID 改變。
4. IE6: 每個窗口獨立 SessionID，不共享。Firefox: 標籤頁/新窗口共享同一 SessionID。
5. Frameset 陷阱：若框架頁為 .htm 未映射給 ASP.NET ISAPI，各框架可能生成不同 SessionID。解決：改 .aspx 或映射 .htm 給 ASP.NET 處理。

Session_End 事件關鍵限制 (僅 InProc 有效)

1. 關閉瀏覽器 **不觸發** (HTTP 無狀態，服務端不知)。
2. 僅 超時 或調用 Session.Abandon() 觸發。Session.Clear() 僅清數據不銷毀 Session。
3. 由後台線程 (Worker Process 賬號) 觸發，**無 HttpContext** (無 Request/Response/Server)，**不能**用 Response.Redirect/Server.Transfer。
4. 訪問數據庫需注意權限：若用 Integrated Security，將以 Worker Process 身份 (Machine.config <processModel> 配置) 連接，可能登錄失敗。
5. 異常不會冒泡到用戶界面，需自行記錄日志。

生產部署總結建議

• 中大型應用首選 SQLServer 或 Custom (Redis) 模式，兼顧高可用、持久化、擴展性。
• 統一 MachineKey：叢集部署自動化腳本必須包含此步驟。
• 監控 SQL Agent / 狀態服務健康狀態，設置告警。
• 定期清理過期 Session：SQLServer 模式依賴 Agent，StateServer 重啟服務即清空，Custom 模式需自行實現清理策略 (如 Redis TTL)。
• 對象精簡：Session 僅存必要最小數據，大對象、非必需數據勿放入。