當用戶在 Web 應(yīng)用程序中導(dǎo)航 ASP.NET 頁時，ASP.NET 會話狀態(tài)使您能夠存儲和檢索用戶的值。HTTP 是一種無狀態(tài)協(xié)議。這意味著 Web 服務(wù)器會將針對頁面的每個 HTTP 請求作為獨立的請求進行處理。服務(wù)器不會保留以前的請求過程中所使用的變量值的任何信息。

ASP.NET 會話狀態(tài)將來自限定時間范圍內(nèi)的同一瀏覽器的請求標識為一個會話，當每個用戶首次與這臺WWW服務(wù)器建立連接時，他就與這個服務(wù)器建立了一個Session，同時服務(wù)器會自動為其分配一個SessionID，用以標識這個用戶的唯一身份。Session提供用于在該會話持續(xù)期間內(nèi)保留變量值的方法。默認情況下，將為所有 ASP.NET 應(yīng)用程序啟用ASP.NET 會話狀態(tài).

會話變量可以是任何有效的 .NET Framework 類型, 注意：當使用 InProc 以外的會話狀態(tài)模式時，會話變量類型必須為基元 .NET 類型或可序列化的類型。這是因為會話變量值存儲在外部數(shù)據(jù)存儲區(qū)中。

會話由一個唯一標識符標識，可使用 SessionID 屬性讀取此標識符。為 ASP.NET 應(yīng)用程序啟用會話狀態(tài)時，將檢查應(yīng)用程序中每個頁面請求是否有瀏覽器發(fā)送的 SessionID 值。如果未提供任何 SessionID 值，則 ASP.NET 將啟動一個新會話，并將該會話的 SessionID 值隨響應(yīng)一起發(fā)送到瀏覽器。

默認情況下，SessionID 值存儲在 Cookie 中。但也可以將應(yīng)用程序配置為在“無 Cookie”會話的 URL 中存儲 SessionID 值。只要一直使用相同的 SessionID 值來發(fā)送請求，會話就被視為活動的。如果特定會話的請求間隔超過指定的超時值（以分鐘為單位），則該會話被視為已過期。使用過期的 SessionID 值發(fā)送的請求將生成一個新的會話。

安全說明：

無論是作為 Cookie 還是作為 URL 的一部分，System.Web.SessionState.HttpSessionState.SessionID 值都以明文的形式發(fā)送。惡意用戶通過獲取 SessionID 值并將其包含在對服務(wù)器的請求中，可以訪問另一位用戶的會話。如果您將敏感信息存儲在會話狀態(tài)中，建議使用 SSL 來加密瀏覽器和服務(wù)器之間包含 SessionID 值的任何通信。

默認情況下，SessionID 值存儲在瀏覽器的不過期會話 Cookie 中。但是，通過在 Web.config 文件的 sessionState 節(jié)中將 cookieless 屬性設(shè)置為 true，可以指定不應(yīng)將會話標識符存儲在 Cookie 中。

<configuration>

  <system.web>

    <sessionState cookieless="true"

      regenerateExpiredSessionId="true" />

  </system.web>

</configuration>

NET技術(shù)：ASP.NET Session詳解，轉(zhuǎn)載需保留來源！

鄭重聲明：本文版權(quán)歸原作者所有，轉(zhuǎn)載文章僅為傳播更多信息之目的，如作者信息標記有誤，請第一時間聯(lián)系我們修改或刪除，多謝。