ASP.NET_SessionId bị thiếu

Question

Tôi đang mất ASP.NET_SessionId khi chuyển đổi giữa các trang trên trang web của mình. Sự cố xảy ra trong Chrome/Firefox/Safari. Nó không xảy ra trong IE. Khá kỳ lạ ... đây là kịch bản của tôi.

Trang web của tôi có thể được truy cập bằng cách nhập www.example.org hoặc example.org trong trình duyệt (đây là một phần thông tin quan trọng như bạn sẽ thấy).

Tôi nhập example.org. Từ trang chủ của tôi, tôi đăng nhập vào trang web của mình (lưu ý: Tôi không sử dụng xác thực biểu mẫu ASP.NET). Tôi được gửi tới trang người dùng mặc định của mình (ví dụ: userpage.aspx). Từ trang này, tôi nhấp vào một số <a> gửi tôi đến một trang khác trên trang web của tôi. Liên kết <a> đủ điều kiện (ví dụ: http://www.example.org/page2.aspx). Khi tôi được gửi đến trang mới, phiên của tôi bị mất!

Vì vậy, tôi đã chạy Fiddler để thử và khám phá vấn đề. Điều tôi thấy thú vị. Thẻ Tiêu đề yêu cầu Người giới thiệu bị mất giữa các trang.

Sau đây là các bước sau:

1. Đến example.org.
2. Đăng nhập vào example.org.
3. Tôi được chuyển hướng đến userpage.aspx. Người giới thiệu là http://example.org. ASP.NET_SessionId được thiết lập.
4. Tôi nhấp vào <a> (ví dụ: http://www.example.org/page2.aspx). Sau khi trang được hiển thị, ASP.NET_SessionId bị mất.

Mất ASP.NET_SessionId nhất quán là Chrome/Firefox/Safari. Điều này không xảy ra trong IE.

Nếu lặp lại các bước trên bằng cách thay thế example.org bằng www.example.org, ASP.NET_SessionId sẽ không bị mất. Nó hoạt động, chính xác mỗi lần.

Bất kỳ suy nghĩ nào về hành vi này?

Answer 1

Thêm phần này vào web.config của bạn dưới <system.web> yếu tố

 
<httpCookies domain=".mysite.com" /> 

Xem nếu có bất kỳ sự thay đổi trong hành vi. Có vẻ như các tên miền phụ không thành công mặc dù tôi nghĩ rằng cookie được đặt tại miền gốc để bắt đầu. điều này sẽ buộc nó theo cách đó.

Answer 2

Trong trường hợp của tôi sau đây là vấn đề:

Trong môi trường Visual Studio địa phương của tôi, phát triển "web.config" tập tin của tôi đã vô tình chứa đựng những điều sau đây:

<configuration> 
    <system.web> 
     <httpCookies requireSSL="true" /> 
    </system.web> 
</configuration> 

Vì sự phát triển IIS Express chạy tại http://localhost:7561, không phải là HTTPS, séc này được kích hoạt để không đặt/chấp nhận bất kỳ cookie nào, bao gồm cookie ID phiên.

Giải pháp là chỉ cần nhận xét ra đường dây <httpCookies requireSSL="true" />.

---

khác, vấn đề tương tự tôi có thể tưởng tượng là Content-Security-Policy HTML tag meta, mà cũng controls how cookies are handled, cũng có thể được cấu hình để không cho phép cookie session ID được thiết lập.