我正在开发一个 ASP.NET 网站。我想知道在会话状态模式下哪个更好：InProc 还是 SQL Server？我需要听听您在这个问题上的经验。
另一个问题是关于 cookieless 属性的。如果我将其设置为 true，我的网站是否存在安全漏洞？在我在 MSDN 网站上看到的所有示例中，此属性都设置为 false。
最后一个问题是关于 Timeout 属性的。当我将其设置为 InProc 模式时，此属性是否会影响我的会话生命周期？
【问题讨论】：
标签： asp.net session-state session-timeout cookieless inproc
InProc 会话要快得多，要求更少（序列化），但是当您在多个 Web 服务器上运行应用程序时无法使用；
Sql session慢得多，有对象序列化要求，但可以在多个Web服务器之间共享；
这是开发人员最应该关心的主要区别。
您应该就此提出一个单独的问题，因为它与上一个问题完全无关。
如果您关闭 cookie 会话 ID 处理，您将能够看到会话 ID。但是，如果您检查 cookie，您也可以。号码就在那里。
会话 cookie 过期设置为浏览器会话，因此在持久性方面几乎相同。
如果您知道其他方的会话 ID，会话可能会被劫持。如果您使用无 cookie 会话当然会更容易，因为您所要做的就是更改 URL...
还有另一件事是复制 URL 和共享/保存（收藏夹）。我想我不必解释这个问题。
默认情况下，无 Cookie 会话为 false，因为绝大多数浏览器都支持 cookie。 只有在您知道您的客户不会有 cookie 时才应该打开它。
无论会话类型如何，会话超时始终与会话到期有关。但是您必须注意，当您使用 SQL Express 版本时，SQL 会话状态可能不遵守此设置，因为您需要 SQL Server 代理服务来丢弃过期的会话。您可以通过编写自己的丢弃过期会话的 Windows 服务来缓解此问题。
【讨论】：
您可以通过 3 种方式使用 Session。各有优缺点
进程内：
会话状态：
Sql 服务器：
也看看这个问题： SQLServer vs StateServer for ASP.NET Session State Performance
【讨论】：
InProc 会话状态
InProc 会话模式表示会话状态存储在本地，意味着使用 InProc 会话状态模式是
将对象存储在 Web 应用程序的 AppDomain 中。因此，当 IIS（Internet 信息系统）重新启动时，会话状态会丢失。
通常，AppDomain 会根据 memoryLimit 属性等几个因素重新启动
配置文件部分的设置，修改 Global.asax 或 Web.config 文件等。
我们可以使用 StateServer 或 SqlServer 会话状态模式来克服这些问题，这里会话状态不存储在 Web 应用程序的 AppDomain 中。
OutProc 会话状态
在 OutProc Session 中，Sessin 状态存储在 StateServer 和 SqlServer 模式中，不在 Web 应用的 AppDomain 中。
StateServer：它使用独立的 Microsoft Windows 服务来存储会话变量，所以这个服务 独立于IIS，它可以在单独的服务器上运行。 您可以将此模式用于负载平衡解决方案，因为多个 Web 服务器可以共享会话变量。 尽管重新启动 IIS 不会丢失会话变量，但跨进程边界时性能会受到影响。
SqlServer： SqlServer 模式还使您能够利用位于 IIS 进程之外的状态存储，并且可以 位于本地计算机或远程服务器上。对于会话信息的持久化，可以使用SqlServer模式 SqlServer 模式类似于进程外模式，不同之处在于会话数据保存在 SQL Server 中。
【讨论】：