このブラウザーはサポートされなくなりました。
Microsoft Edge にアップグレードすると、最新の機能、セキュリティ更新プログラム、およびテクニカル サポートを利用できます。
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(220.8, 73%, 31%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EA%3C/text%3E%3C/svg%3E)
■事象
IISのアプリケーションプールIDを「ApplicationPoolIdentity」に設定し
リサイクルが行われると、Webアプリ(サイト)で行っている
javascript(ajax)のpost通信でエラー(400 Bad request)が起こります。
しかし、アプリケーションプールIDを「管理者権限を持つユーザー」に設定し
リサイクルが行われると、エラーが発生しません。
■質問
管理者権限を持つユーザーはセッション情報が永続的に保持されるため
リサイクル後も同じセッションになり
エラー(400 Bad request)にならないかと推測していますが
事象の原因や、
推測を裏付ける確認方法やサイト等があればご教示いただきたいです。
■環境
Windows server 2019
IIS 10.0
.net Core MVC ※.NET6.0
VisualStudio2022
以上、よろしくお願いいたします。
IIS を使っているということは「インプロセスホスティング」か「アウトプロセスホスティング」のどっちかでホストしてると思いますが、どっちですか？
「javascript(ajax)のpost通信」のクライアント側とそれを受けるサーバー側のコードを提示することはできますか？
想像ですが、400 Bad Request は Session とは関係ないような気がします。
もう一つ質問。
ASP.NET Core の Session 情報のストアには分散キャッシュを利用するのですが、それには以下があります。どれを使ってますか？
(1) 分散メモリ キャッシュ - AddDistributedMemoryCache
(2) 分散 SQL Server キャッシュ - AddDistributedSqlServerCache
(3) 分散 Redis キャッシュ - AddStackExchangeRedisCache
(4) 分散 NCache キャッシュ - AddNCacheDistributedCache
コメント頂きありがとうございます。
「インプロセスホスティング」の認識です。
（ASP.NET CoreアプリをIISにデプロイしている）
■コードについて
・クライアント側（javascript(ajax)のpost通信）
// アプリ(.net Core MVC)のView.cshtmlに記載
$.ajax({
url: '/XXXX/TestUpdate', // Controllerに、画面の値を渡して処理したい
type: 'POST',
data: $('form').serialize(),
timeout: 10000,
dataType: 'text',
cache: false,
}).done(function (data) {
// 更新した値を画面に表示したい。
$("#testPartialView").html(data);
}).fail(function (XMLHttpRequest, textStatus, errorThrown) {
});
・サーバー側のコード
// アプリ(.net Core MVC)のController.csに記載
// 引数: testModel は JSからの$('form').serialize()を受け取るためのクラス
[HttpPost]
[ValidateAntiForgeryToken]
public IActionResult TestUpdate(testModel model)
{
// DB登録など
return PartialView("_testPartialView", model);
}
ASP.NET Core の Session 情報のストアについては
(1)～(4)のいずれも使っていない認識です。
そもそも分散キャッシュについての知識がなく、意識していませんでした。
なお、現在はProgram.csに以下を記載しているのみです。
builder.Services.AddSession(options => {
options.IdleTimeout = TimeSpan.FromSeconds(30);
});
コードを拝見しましたが、その中では ASP.NET で言う Session は使ってません。質問者さんの言う「セッション」は ASP.NET で言う Session とは違うもののように思えます。
質問者さんの言う「セッション」とは、ユーザーがブラウザで web サイトにアクセスを開始してから終了するまでの一連のやり取りのことのような気がしますが、違いますか？
何にせよ、IIS のワーカープロセスのアカウントをどのようにしたとしても、
管理者権限を持つユーザーはセッション情報が永続的に保持されるためリサイクル後も同じセッションになり
ということはあり得ません。
ASP.NET で言う Session 情報をメモリに保持しているとすれば、リサイクルで間違いなく消えます。また、タイムアウトで Session に格納したデータは削除されます。
SQL Server に保持していれば、リサイクルで消えることはありませんが、タイムアウトで Session に格納したデータは削除されます。
なので、上にも書きましたが、400 Bad Request は Session とは関係ないと思います。
と言って、400 Bad Request の原因は今提供されている情報では自分には分かりませんが。
セッションではなくて別の観点から原因を探す方が良さそうです。
今提供されている情報だけからの想像ですが、怪しいのは CSRF トークンの検証失敗です。そのあたりを確認してはいかがですか？
CSRF 用の隠しフィールドのデータを含めてフォームデータを jQuery ajax を使って POST 送信し、アクションメソッドに付与した [ValidateAntiForgeryToken] 属性での検証ができるようにしているのですよね。
その場合、何らかの原因でクッキーと隠しフィールドにある CSRF 対策用トークンがブラウザから送信されないと 400 Bad Request になります。
例えば、以下のようにクッキーと隠しフィールドにある CSRF 対策用トークンが送信されれば成功しますが、
その後で、ブラウザのクッキーを削除して試すと 400 Bad Request になります。
ちなみに上の画像の検証に使ったのは以下に記事のアプリで、jQuery の .serialize() メソッドを使って form データを POST 送信するというところは質問者さんのケースと同じです。
jQuery ajax で部分ビューの呼出・表示 (CORE) http://surferonwww.info/BlogEngine/post/2020/03/07/use-jquery-ajax-to-request-and-render-partial-view.aspx
返信をありがとうございます。
確かに「セッション」とは、ユーザーがブラウザで web サイトにアクセスを
開始してから終了するまでの一連のやり取りのこと、を思っていました。
加えて調査の中で
「HTTP通信は、Cookieを使ってSession管理を行う」ようなネットの記載を見たり
ASP.NETのSessionとブラウザがどこまで影響/関係するのか分からなくなってきて
「セッション」と「クッキー」の混同というか、正直区別がついていなかったです。
記載いただきました「別の観点から原因を探すこと」を視野に入れ
まずは「CSRF トークンの検証失敗」について確認するようにいたします。
（同じコメントを誤って2回送信してしまったため、削除）
はっきり言わせていただけると何が何だかよくわからなくて迷走しているように思えます。こういう場所で質問するにも基本的な知識がないと話が通じませんし、文章でやり取りする Q&A サイトで教えるのは無理があります。話が通じる程度には勉強して知識をつけて質問いただくようお願いします。