asp.net - 对于 asp.net 中的 session 状态模式，InProc 或 SQL Server 哪个更好？

Question

我正在开发一个 ASP.NET 网站。我想知道 session 状态模式下哪个更好:InProc 或 SQL Server？我需要听听你在这个问题上的经验。

另一个问题是关于 cookieless 属性。如果我将其设置为 true，我的网站是否存在任何安全漏洞？在我在 MSDN 站点上看到的所有示例中，此属性都设置为 false。

最后一个问题是关于超时属性。当我将其设置为 InProc 模式时，此属性会影响我的 session 生存期吗？

Answer 1

在什么方面更好？

InProc session 速度更快，要求更少(序列化)，但是当您在多个 Web 服务器上运行应用程序时无法使用；

Sql session 慢得多，有对象序列化要求，但可以在多个 Web 服务器之间共享；

这是开发人员最应该关心的它们之间的主要区别。

无 cookies session

You should ask a separate question regarding this, because it's a completely unrelated question to previous one.

如果您关闭 cookie session ID 处理，您将能够看到 session ID。但是，如果您检查 cookie，您也可以。号码在那里。

并且 session cookie 过期时间设置为浏览器 session ，因此在持久性方面实际上是相同的。

如果您知道其他方的 session ID， session 可能会被劫持。如果您使用 cookieless session ，当然会更容易，因为您所要做的就是更改 URL...

还有另一件事是复制 URL 和共享/保存(收藏夹)。我想我不必解释这个问题。

无 Cookie session 是 false默认情况下，因为绝大多数浏览器都支持 cookie。 只有当您知道您的客户不会拥有 cookie 时，您才应该打开它。

session 超时

无论 session 类型如何， session 超时始终与 session 到期相关。但是您必须注意，当您使用 SQL Express 版本时，SQL session 状态可能不遵循此设置，因为您需要 SQL Server 代理服务来丢弃过期的 session 。您可以通过编写自己的 Windows 服务来缓解此问题，该服务会丢弃过期的 session 。