Session.Abandon() no abandona la sesión inmediatamente

Question

En mi aplicación web ASP.NET llamo al Session.Abandon() en Page_Load(). Esperaría que esto abandone la sesión de inmediato y la próxima vez que haga referencia al HttpContext.Current.Session, se debe crear una nueva sesión. Sin embargo, poner puntos de corte en los controladores Session_End y Session_Start en Global.asax indica que no se invocan hasta que la página haya finalizado la representación.

Dos preguntas:

1) ¿Por qué?

2) ¿Cómo puedo seguir usando HttpContext.Current.Session dentro de un ciclo de vida de página una vez que se ha llamado a Session.Abandon()?

¡Gracias de antemano!

Answer 1

http://msdn.microsoft.com/en-us/library/ms524310(v=vs.90).aspx

Mira la sección de comentarios en la página enlazada. Parece que los objetos de la sesión solo se ponen en cola para su eliminación, y no se eliminan hasta que el código termina de ejecutarse.

Answer 2

Session.Abandon() realmente espera hasta que la página se haya procesado.

Answer 3

Esta fue mi solución:

private void PurgeSession() 
{ 
    try 
    { 
     Session.Clear(); 
    } 
    catch (Exception) { } 

    try 
    { 
     Session.Abandon(); 
    } 
    catch (Exception) { } 

    try 
    { 
     Session.RemoveAll(); 
    } 
    catch (Exception) { } 

    try 
    { 
     Response.Cookies.Add(new HttpCookie("ASP.NET_SessionId") 
           {Expires = DateTime.Now.AddYears(-1)}); 
    } 
    catch (Exception) { } 
} 

Esto es efectivamente la opción bombardeo orbital.

Alguna información proveniente de: http://www.dotnetfunda.com/articles/article1395-how-to-avoid-the-session-fixation-vulnerability-in-aspnet-.aspx