将会话超时增加到一周或更长时间

Question

为了增加会话超时，看来我会使用以下设置：

<system.web>
  <sessionState mode="InProc" timeout="20" />
  /* Etc... */
</system.web>

这里的超时设置为 20 分钟（默认值）。而且，显然，最大值是 525,600 分钟，即一年。

我可以在一周后返回 Facebook，但我仍处于登录状态。这就是我希望我的应用程序的行为方式。但根据this answer 的说法，这会对性能产生不利影响，因为“您的非活动会话将保留在 Web 服务器内存中，这可能会导致应用程序池回收，从而导致所有用户的所有会话丢失。”

有谁知道有关此性能影响的详细信息？而且，如果它是真实的，是否有更高效的方式来让用户像 Facebook 等网站一样保持登录状态？

更新：

以下是我当前 web.config 文件的相关部分。

<system.web>
  <authentication mode="None" />
  <sessionState mode="InProc" timeout="60" />
  <compilation debug="true" targetFramework="4.6" />
  <httpRuntime targetFramework="4.5.2" executionTimeout="240" maxRequestLength="20480" />
  <httpModules>
    <add name="ApplicationInsightsWebTracking" type="Microsoft.ApplicationInsights.Web.ApplicationInsightsHttpModule, Microsoft.AI.Web" />
  </httpModules>
  <customErrors mode="Off"></customErrors>
</system.web>
<system.webServer>
  <modules>
    <remove name="FormsAuthentication" />
    <remove name="ApplicationInsightsWebTracking" />
    <add name="ApplicationInsightsWebTracking" type="Microsoft.ApplicationInsights.Web.ApplicationInsightsHttpModule, Microsoft.AI.Web" preCondition="managedHandler" />
  </modules>
  <validation validateIntegratedModeConfiguration="false" />
  <security>
    <requestFiltering>
      <requestLimits maxAllowedContentLength="20971520" />
    </requestFiltering>
  </security>
</system.webServer>

更新 2：

看起来我错误地将两个问题（身份验证和会话状态）混为一谈。对于我在谷歌上搜索的一些问题没有正确分类，我深表歉意。我的目标只是延长用户登录的时间。

Answer 1

对于登录，您必须使用FormsAuthentication 或ASP.NET Identity（基于FormsAuthentication 的改进版基于cookie 的身份验证），这允许您将身份验证cookie 保留数周/数月以上。 FormsAuthentication 是无状态的，为了支持多个服务器，您可以在所有服务器中使用单个 machineKey。所有示例和教程大多指导默认使用FormsAuthentication。

Faceboook 和每个人都使用身份验证 cookie，没有人使用 Session 登录。

理想情况下，Session 很糟糕，而且大多是不必要的。可以替换为HttpRuntime.Cache。可以轻松设置缓存以使用一些外部提供程序，例如 Fabric 缓存或 Redis。要使缓存被用户隔离，您可以简单地将缓存项的键附加到用户名。

更新

使用FormsAuthentication 没有任何缺点，除了解密 cookie 所需的 CPU 开销很小，但也可以通过缓存身份验证票证来避免。

支持Session 的唯一原因可能是与他们可能支持的旧ASP 应用程序兼容。

在新的 ASP.NET MVC 示例中，他们在代码中（在启动时）配置了基于 cookie 的身份验证，这不是会话。虽然在 web.config 中配置了 session，但只要你不想在 session 中存储任何东西，你可以完全禁用它。

Answer 2

从头开始创建一个股票 MVC 项目，并选择个人用户帐户进行身份验证。

Startup.Auth.cs

public partial class Startup {
    // For more information on configuring authentication, please visit http://go.microsoft.com/fwlink/?LinkId=301864
    public void ConfigureAuth(IAppBuilder app) {
        // Configure the db context, user manager and signin manager to use a single instance per request
        app.CreatePerOwinContext(ApplicationDbContext.Create);
        app.CreatePerOwinContext<ApplicationUserManager>(ApplicationUserManager.Create);
        app.CreatePerOwinContext<ApplicationSignInManager>(ApplicationSignInManager.Create);

        // Enable the application to use a cookie to store information for the signed in user
        // and to use a cookie to temporarily store information about a user logging in with a third party login provider
        // Configure the sign in cookie
        app.UseCookieAuthentication(new CookieAuthenticationOptions {
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            LoginPath = new PathString("/Account/Login"),
            Provider = new CookieAuthenticationProvider {
                // Enables the application to validate the security stamp when the user logs in.
                // This is a security feature which is used when you change a password or add an external login to your account.  
                OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
                    validateInterval: TimeSpan.FromMinutes(30),
                    regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
            },
            ExpireTimeSpan = TimeSpan.FromDays(7)//<-- I just added this.
        });

        //...code removed for brevity
    }
}

// Summary:
//     Controls how much time the cookie will remain valid from the point it is
//     created. The expiration information is in the protected cookie ticket. Because
//     of that an expired cookie will be ignored even if it is passed to the server
//     after the browser should have purged it
public TimeSpan ExpireTimeSpan { get; set; }

项目中没有其他任何更改，默认模板提供了所需的一切。

更新

基于 cmets，您始终可以将其作为应用设置添加到 web.config 中并使用 ConfigurationManager 访问它。这样就可以修改它而无需重新编译代码。

var expireTimeSpan = TimeSpan.FromDays(7);//the default
var setting = ConfigurationManager.AppSettings["ApplicationCookieExpireTimeInDays"];
if (setting != null) {
    var days = 0;
    if (int.TryParse(setting, out days)) {
        expireTimeSpan = TimeSpan.FromDays(days);
    }
}

// Enable the application to use a cookie to store information for the signed in user
// and to use a cookie to temporarily store information about a user logging in with a third party login provider
// Configure the sign in cookie
app.UseCookieAuthentication(new CookieAuthenticationOptions {
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    Provider = new CookieAuthenticationProvider {
        // Enables the application to validate the security stamp when the user logs in.
        // This is a security feature which is used when you change a password or add an external login to your account.  
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30),
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
    },
    ExpireTimeSpan = expireTimeSpan
});

web.config 将保存设置的位置。

<appSettings>
  <add key="webpages:Version" value="3.0.0.0" />
  <add key="webpages:Enabled" value="false" />
  <add key="ClientValidationEnabled" value="true" />
  <add key="UnobtrusiveJavaScriptEnabled" value="true" />
  <add key="ApplicationCookieExpireTimeInDays" value="14" />
</appSettings>

Answer 3

您引用的答案部分正确。这取决于会话状态的存储位置。

在 SQL Server 数据库中存储会话状态时增加会话状态应该没有问题。还使用 Web Farms - 这对于满足可扩展性是有意义的。

来自这篇文章：

Storing Session State in a SQL Server Database

在SQL server中存储会话变量有以下几点 优点：

可扩展性：如果您正在寻找一种高度可扩展的选项来存储 您的会话变量，SQL Server 选项适合您。这是一个多 比其他选项更具可扩展性。 Web 农场架构可以非常 轻松访问会话变量，因为它们存储在 独立的数据库。
可靠性：因为数据是物理的 持久化在数据库中，比其他更可靠 选项。它能够在服务器重新启动后继续存在。
安全性： SQL Server 比内存或状态服务器选项更安全。 您可以通过配置 SQL Server 更轻松地保护您的数据 安全。

这是一篇旧文章，但这些原则仍然适用。

使用 Web 服务器的内存时可能会出现问题。

How does increasing the session timeout effect the application performance and why?

如果您延长会议的持续时间，会议期间举行的任何项目 变量将在服务器上的内存中停留更长时间。取决于如何 您的应用程序繁忙，以及您的项目类型和数量 持久化为会话变量，这可能会降低性能。

复制了引文中的错字。

这个问题还讨论了会话状态和FormsAuthentication 使用 cookie 之间的区别。

Should I use Session State or FormAuthentication to keep track of a signed-in user?

因此，根据您使用的身份验证类型 - 您可以使用 cookie 路由，记住用户可以从浏览器中删除 cookie，这会将其注销。

这是另一个有用的文档链接。

Securing Session State