セッション読み込み完了時にログインチェックを行いたい

Question

###前提・実現したいこと
ASP.NETで、セッション読み込み完了時に共通処理としてログインチェックを行いたいです。
グローバルアプリケーションクラス内のApplication_BeginRequestイベントで
処理を行ってみたのですが、以下のような例外が出ました。

このコンテキストでセッション状態は利用できません。

MSDNに掲載されているページのライフサイクルの概要等を参照した結果、
Application_BeginRequestイベントが発生する段階では
セッション情報が取得されていないらしいということが分かったのですが、
セッション取得完了直後に発生するイベントが分かるような記事が見つからずに困っています。
以下にソースコードを記述します。

###該当のソースコード

Global.asax.cs

protected void Application_BeginRequest(object sender, EventArgs e)
{
   // ログインIDがセッションから取得できず、ログインが必要なページなら
   if (Session["USER_ID"] == null && Request.Url != ...)
   {
      // タイムアウト画面へ遷移する処理
      ...
   }
}

###試したこと
ネット上の記事を参考にSession_Startイベントに処理を記述してみました。
リクエストのセッションが取得できなかった場合にはセッションが新しく作成されるため、
そこでこのイベントが起きるということだと思います。
(目的を満たせなかったため、詳しいことを調べてはいません。)
しかし、このイベントではタイムアウトしか検知することが出来ないため、
遷移後に戻るボタンを使用したりして再び元の画面で操作を行った場合はダメでした。
そもそもタイムアウトのハンドリングの記事だったと思うので、改めて考えると目的がずれていました。

###備考
同様の課題についてマスターページのInitイベントに処理を記述する手法で解決した前例を
ネット上で発見し、少なくとも目的は満たせそうなため、一度はそれで満足しかけたのですが、
その方法だとコンテンツページのInitイベントで行いたい処理がある場合には機能しないため、
本質的な解決にはならないのではないかと考え直しました。
熟考の末、論理的な側面から考えても、ログインチェックを行いたいタイミングは、
ページの初期化時ではなくセッションが取得できた直後だと思い、よりよい方法を知りたいと思いました。

追記:マスターページのInitイベントはコンテンツページのInitイベントより先に発生するため、コンテンツページのInitイベントで行う処理があったとしても影響はありませんでした。しかし、コンテンツページのPreInitイベントはマスターページのInitより先に起きるようです。

Answer 1

Application_BeginRequest イベントにてページリクエストのたびにログインチェックを行いたいというなら以下のような感じですかねえ。

１．ユーザーがログイン画面にてユーザーＩＤとパスワードを入力して認証を行った時にセッションＩＤ（Session.SessionID） と ユーザーＩＤ（Session.Contents["USER_ID"]） をセットにしてApplication.Contentsに保存する。

Application.Contents[Session.SessionID] = Session.Contents["USER_ID"];

２．Application_BeginRequest イベントにて Request.Cookies["ASP.NET_SessionId"].value に格納されているセッションＩＤを取得する。
３．取得したセッションＩＤをキーにしてApplication.Contentsを読み込みユーザーＩＤを取得する。
４．取得したユーザーＩＤでログインチェックを行う。

String sessionid = Request.Cookies["ASP.NET_SessionId"].value;
String userid = Application.Contents[sessionid];
if (userid == ... ){

とりあえずApplication.Contentsに保存していますが、できればデータベースとかの方が望ましいでしょう。

ただ、この方法だと後々行き詰るような気がします。
ページリクエストのたびにログインチェックするのもパフォーマンス的にどうなんだろうと思いますし。

私としてはASP.NETのフォーム認証機能を使うことをおすすめします。

Answer 2

Asp.Net Global.asax内イベント発生する順序を参考にされては

Application_Start

↓
Application_BeginRequest (HTTPリクエストハンドラでのリクエスト処理開始前）
↓
Application_AuthenticateRequest (認証準備完了後）
↓
Application_AuthorizeRequest (ユーザ認証完了後）
↓
Application_ResolveRequestCache (キャッシュからの後続の要求を処理するために使用する応答をキャッシング モジュールで格納できる)
ここまでセッションを利用できません。
↓
Session_Start （セッション開始、この前のイベント内セッションを利用できません。）
↓
Application_AcquireRequestState (リクエストに関連した状態（セッション等）を取得時
↓
Application_PreRequestHandlerExecute (HTTPハンドラによるページ実行直前）
↓
Application_PostRequestHandlerExecute (HTTPハンドラによるページ実行終了後）
↓
Application_ReleaseRequestState (実行処理の終了後）
ここからセッションを利用できません。
↓
Application_UpdateRequestCache (出力キャッシュ更新後）
↓
Application_EndRequest (HTTPリクエスト処理完了後）
↓
Application_PreSendRequestHandlers (HTTPヘッダ情報送信前）
筆者の環境ではこのイベント入りません
↓
Application_PreSendRequestContent (HTTPコンテンツ情報送信前）

Comments

[syogakusya]

マスターページのInitイベントはコンテンツページのInitイベントより先に起きるのですね。知りませんでした。
ご提示頂いた情報を参考にAcquireRequestStateイベントについて少し調べ、実際に使ってみたのですが、一度のリクエストで複数回イベントが起きてしまいます。
具体的には、必ず一度はページイベントより前に起きるのですが、2回目や3回目の同イベントがページの読み込みイベント終了後に起きたりします。
この現象について何か解決のヒントはございませんか。
マスターページのInitイベントも一応試してみましたが、こちらでは正常に動作しました。
可能ならページレベルではなくアプリレベルのイベントで処理をしたいという思いです。
引き続きよろしくお願いします。