目前在使用session上碰到一些问题.
环境是iis（版本不确定） c# asp.net写的
使用者登入登出其实都没问题,
可是如果是使用fiddler做代理.
点了登出把session 做了abandon,removeall,
也做了cookie 清空asp.net_sessionid
Response.Cookies.Add(new HttpCookie("ASP.NET_SessionId",""))
此时把当初fiddler记录到的request做replay,
iis server还是会回应相对应的cache.
导致只要能监听到相对应的封包,就可以取得server同样的回应.
如果replay时也要把回应的这些cache都不回应的话,
应该从code本身的登入机制着手呢?
还是该往iis server设定的方向去着手？(例如header no-cache等等的方法)
不知道大家有没有什么想法可以建议呢？

可能要先弄清楚session实际的运作机制，根据内文上来看，你的方向是错误的

Session.Abandon、RemoveAll应该都只是清掉session存的东西Cookie是给正常的那个client指示，你用另一个client去replay那就跟Cookie怎么设没关系，要挡这个需要的是server-side要invalidate SessionId→登入状态这个关系其实一般的Web framework都会在lougout时自己处理这个，但ASP.NET就是不会，SessionId一发出去就要到期才失效要解决这问题就是你自己要多实作一个记录登入状态的机制每个request来你要多检查你自己管理的状态是不是已登出这问题10几年来就是没修，应该可以找到很多解法...

感谢以上两位提供意见,最后还是在session logout时纪录session id,然后做判读,若有相同session来就redirect