尽管如此，如果你是通过代理对象从你的页面调用web服务，由于架构限制，web服务和你的页面无法共享session state。

如果你通过redirect调用web服务，这是可以完成的

Q：我正在写一个HttpHandler，为什么session stae不工作？

A: 你的HttpHandler接口必须实现标记接口IRequiresSessionState或IReadOnlySessionState，方能使用session state。

Q: 我正在使用web farm，并且每当我重定向到其他服务器时，session state就会丢失？
A: 为了在web farm中的不同服务器之间维护session state，IIS Metabase中的网站应用程序路径(例如 \LM\W3SVC\2)应该在所有的web服务器上保持一致（大小写敏感）。详见KB325056

Q: 如果使用cookieless，我该如何从一个HTTP页面重定向到一个HTTPS页面？
A: 尝试使用下面的代码：
String originalUrl = "/fxtest3/sub/foo2.aspx";
String modifiedUrl = "https://localhost" + Response.ApplyAppPathModifier(originalUrl);
Response.Redirect(modifiedUrl);

Q: session state有没有一个锁机制来安排对session的访问顺序？
A：session state实现了读写锁定机制：
- 对session state有写权限（如<%@ Page EnableSessionState="True" %> ）的页面或帧将获得这个session的写锁，直到请求结束。
- 对session state有读权限（如<%@ Page EnableSessionState="ReadOnly" %> ）的页面或帧将获得这个session的读锁，直到请求结束。
- 读锁会阻塞写锁；读锁不会阻塞读锁；写锁会阻塞所有的读锁和写锁
- 这也是为什么当两个帧同时拥有session的访问权限时，一个帧必须等待另一帧先完成

Q: 我该如何检测一个session过期，然后重定向到另一个页面
A: 这是经常要遇到的问题，但不幸的是没有很简单的方法来完成它。我们将期待在一个主要版本中实现它。同时，如果你使用cookie，你可以在cookie中存储一个标志，这样你就可以区分新浏览器+新session及旧浏览器+过期session，下面的代码在session过期时会重定向到一个过期页面。
void Session_OnStart(Object sender, EventArgs e) {
    HttpContext context = HttpContext.Current;
    HttpCookieCollection cookies = context.Request.Cookies;

    if (cookies["starttime"] == null) {
        HttpCookie cookie = new HttpCookie("starttime", DateTime.Now.ToString());
        cookie.Path = "/";
        context.Response.Cookies.Add(cookie);
    }
    else {
        context.Response.Redirect("expired.aspx");
    }
}

Q: 在Session_End中，我尝试使用SQL做一些清理工作，但是失败了，请问为什么?
A: 首先，session_End仅在InProc模式下支持。
第二，Session_End是用运行工作者进程(aspnet_wp.exe)的帐号运行的，这个账号可以在machine.config中指定。因此，在你的Session_End中，如果使用integrity security连接SQL，它将使用工作者进程账号身份连接，这可能会引起登录失败，这要看你的SQL安全设置了。

Q: 我使用的是SQLServer模式，为什么我的session不会过期
A: 在SQLServer模式下，session过期是由SQL Agent使用一个注册任务完成的，请确认你的SQL Agent是否已经运行。

Q: 我有一个以htm为扩展名的frameset页面，并且我发觉其中包含的每个帧在第一次请求时都有一个不同的SessionID，这是为什么？
A: 原因是你的frameset页面是一个htm文件而不是一个aspx页面

在通常情况下，如果一个frameset页为一个aspx文件，当你请求该页面时，会首先发请求给web服务器，你会收到一个asp.net session cookie（其中保存着session id），然后浏览器会为frame发送一个单独的请求，而每个请求将拥有相同的session id。

然而，因为你的页面是一个htm文件，第一个请求就不会获得任何session cookie，因为页面是由asp处理的而非asp.net，然后浏览器会为每个帧发送单独的请求。但是，这次每个单独的请求将不会持有任何 session id，这样的话每个帧将创建自己的session。这也是为什么你在每个帧中看到的session id都不同。最后一个请求将赢得胜利，因为它将覆盖前两个请求写入的cookie。如果你刷新一次，你将看到它们拥有了相同的session id。

这个行为是设计所决定的，简单的解决方法就是将frameset页面改称aspx
 
Q: 我将EnableSessionState设置为ReadOnly，但是在InProc模式下，我仍然可以修改session，为什么？
A: 尽管那些EnableSessionState被设置为ReadOnly，但是在InProc模式中，用户仍然可以修改session。唯一的区别在于session在请求中不会被锁住，这一限制是设计所决定的。对于这一点没有在msdn中提到我表示抱歉。

Q: 我将cookieless设置为true，在Redirect之后session变量丢失了，为什么？
A: 如果你使用的是cookieless，你必须使用相对路径（如..\hello.aspx），而不是绝对路径（如\foo\bar\hello.aspx）。如果你使用的是绝对路径，ASP.NET不会将session id保存在url中。

Q: 将cookieless设置为true有哪些缺点
A: 设置cookieless=true表示一些潜在的规则，主要有：
1. 你不能在你的页面中使用绝对路径
2. 在http和https之间切换的话，你必须做一些额外的动作
3. 如果你的客户发送了一个链接到一个朋友，URL将包含session id，两个用户可以在同一时间使用相同的session id

Q: 在InProc模式下，我用编程方式改变了session的超时时间，它触发了Session_End，为什么？
A: 这是InProc的一个bug。如果你更改session的timeout值为另一个值，Session_End将被调用（但不会调用Session_Start）。我们期待在v2.0中能够修复这个错误。

Q: 在SQLServer模式下，我可以把session state保存在除tempdb之外的数据库中吗？
A: 是的。见KB311209。

Q: 如何防止将未加密的字符串放在我的连接字符串汇总?
A: 见sql trusted connection或者将连接字符串以加密数据形式保存在注册表中。详情请见，KB329250和KB329290。

Q: 在使用SQLServer模式时，我需要怎样的SQL权限？
A: 调用者需要对下面的存储过程拥有EXEC权限，
dbo.TempGetAppID
dbo.TempGetStateItem
dbo.TempGetStateItemExclusive
dbo.TempReleaseStateItemExclusive
dbo.TempInsertStateItemLong
dbo.TempInsertStateItemShort
dbo.TempUpdateStateItemLong
dbo.TempUpdateStateItemShort
dbo.TempUpdateStateItemShortNullLong
dbo.TempUpdateStateItemLongNullShort
dbo.TempRemoveStateItem
dbo.TempResetTimeout
在v1.1中，你也需要对下面的存储过程拥有EXEC权限
dbo.TempGetStateItem2
dbo.TempGetStateItemExclusive2

请注意存储过程的拥有者必须对session state表（dbo.ASPStateTempSessions和 dbo.ASPStateTempApplications）拥有SELECT/INSERT/UPDATE/DELETE 权限。通常，拥有者是执行installsqlstate.sql（或者持久版本，见KB311209）的帐号来安装sql session state需要的表、存储过程、数据库

也请注意，如果你的session state表在tempdb中（默认情况下）如果你对SQL Server进行资源回收，所有在这张表上的权限设置将丢失。

Q: 我可以自己写定制的session state模式吗？
A：（待翻译）

Q: 在SQLServer或StateServer模式下，序列化和反序列化如何工作？
A: （待翻译）

Q: 我该如何让我的state server更安全？
A:如果state server和web server运行在一台机器上，通过设置HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ aspnet_state\Param ters\AllowRemoteConnection的dword项为0，可以让state server仅在本地运行。这样就可以防止远程客户端连见到state server上。这一特性在v1.1中可用，在v1.0 sp3中也有。

state server必须受防火墙保护，以防止外部连接以保证真正安全。默认的端口是TCP 42424，你可以设置HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ aspnet_state\Param ters\Port来改变它。如果是本地模式，除了127.0.0.1以外，屏蔽所有外来连接；如果是远程模式,显式的禁用所有的地址，除了对wev服务器的连接。

使用IPSec是另一种保护state server的方式。

Q: 我能否可以使用非global.asax中的处理程序来订阅SessionStateModule.End事件？
A: 答案是否定的。当SessionStateModule触发End事件时，只有定义在global.asax中的方法才会被触发

这是出于安全原因考虑的才对此进行限制。假设asp.net允许用户使用的其他的处理程序来处理End事件。在这种情况下，用户通常使用一个页面方法作为处理程序，当你在事件订阅时传入处理程序，处理程序将与你的程序运行在的HttpApplication实例关联。请注意， HttpApplication实例会被回收来处理其他请求。这样的话，当End事件触发时，asp.net将调用处理程序，而与之关联的 HttpApplication实例已经被另一个请求所使用，这样的情况将引发各种各样的问题。为了避免这种危险，在v1.0中决定进调用 Global.asax中定义的方法。希望你们都可以忍受这一限制。

Q: 不同的应用程序可以把他们的session state保存在同一个SQL Server上的不同数据库中吗？
A: 答案是肯定的。详情请见：http://support.microsoft.com/default.aspx?scid=kb;EN-US;836680