meta http-equiv="refresh" 在 session 保活中根本不可靠，因现代浏览器静默拦截无交互刷新、不携带 cookie、不触发服务端 session 更新，且引发页面闪动；可靠方案是用 fetch + credentials: 'include' 发起带凭证的 post 心跳请求，并结合 visibilitychange 动态控制。
meta http-equiv="refresh" 在 Session 保活中根本不可靠
它不能用于防止 Session 过期——这不是 bug，是设计使然。浏览器从 Chrome 93+ 开始静默拦截无用户交互的 meta http-equiv="refresh" 跳转，Chrome 110+ 直接在控制台报 Refresh is blocked due to user gesture requirement；Firefox 则把短间隔（如 content="0.5"）自动提升到 1 秒，且后台标签页下 content 值小于 3 的指令可能完全被忽略。
更关键的是：meta refresh 触发的是完整页面加载，不是轻量 HTTP 请求。它不会携带 Cookie（除非目标 URL 显式触发同源请求），也无法让服务器感知“用户还在线”，纯粹是客户端单方面刷新页面——对 Session 续期毫无作用。
- 它不发送任何请求头，
Set-Cookie不会被响应，sessionid不会刷新过期时间 - 若用
content="60"刷新自身，页面闪动、状态丢失、表单输入清空，用户体验极差 - 若跳转到一个空页面（如
content="60; url=/keepalive.html"），该页面仍需完整 HTML 解析和渲染，开销远高于一个fetch()
为什么 iframe + meta refresh 的老方案现在大概率失效
常见写法是嵌入一个隐藏 iframe，其 src 指向一个只含 <meta http-equiv="refresh" content="900;url=/keepalive.asp"> 的页面。这个方案在 2010 年代可行，但今天已全面过时：
- 现代浏览器对跨域/同源 iframe 内的
meta refresh同样执行用户手势策略，后台标签页或未聚焦 iframe 中的倒计时直接暂停或跳过 -
document.all["Back"].src=...是 IE 专属写法，document.all在 Chrome/Firefox/Safari 中已废弃 - 即使 iframe 加载成功，
/keepalive.asp返回空内容或仅 HTML 头，服务器端 session timeout 逻辑并不会因此重置——除非该请求明确触发了 session 访问（如读取Session["user"]） - IIS 应用程序池回收（默认 1740 分钟）和 session 状态存储机制（InProc / StateServer / SQL Server）本身不受客户端轮询影响
真正能续期 Session 的最小可行 JS 方案
必须用 JavaScript 发起真实 HTTP 请求，并确保服务器端正确响应并更新 session 时间戳。核心是：请求要带凭证、服务端要触达 session 对象、客户端要处理失败重试。
推荐写法（放在 底部或加 defer）：
function keepSessionAlive() {
fetch('/api/keepalive', {
method: 'POST',
credentials: 'include', // 关键：带上 Cookie
headers: { 'Content-Type': 'application/json' }
})
.catch(() => {
// 失败时不 panic，30 秒后重试（避免雪崩）
setTimeout(keepSessionAlive, 30000);
});
}
// 首次立即执行，再每 5 分钟调用一次（略小于 session.timeout 的 20 分钟）
keepSessionAlive();
setInterval(keepSessionAlive, 5 * 60 * 1000);
-
credentials: 'include'必须显式声明，否则 Cookie 不会发送 - 后端接口（如
/api/keepalive）必须实际访问 session 对象，例如 ASP.NET 中HttpContext.Session.TryGetValue("user", out _)或 Node.js Express 中req.session.touch() - 不要用
GET—— 缓存风险高；POST更安全，也便于服务端做幂等校验 - 避免用
XMLHttpRequest旧 API，fetch更简洁且默认支持credentials
容易被忽略的边界问题：页面非活跃时要不要续期
用户切走标签页、最小化窗口、锁屏时，继续发请求既浪费资源，又可能触发服务端限流。应结合 visibilitychange 和 focus 事件动态控制：
- 监听
document.addEventListener('visibilitychange', () => { ... })，页面隐藏时暂停setInterval，显示时恢复 - 用
document.hasFocus()辅助判断，但注意它在移动端 WebView 中可能始终返回true - 别依赖
beforeunload清理定时器——该事件触发时已来不及发请求 - 如果业务允许“离线续期”，可在页面重新获得焦点时补发一次请求，避免长时间离线导致 session 溢出
真正的 Session 保活不是前端单方面倒计时，而是前后端协同的轻量心跳协议。meta refresh 早已退出历史舞台，强行复用只会掩盖真实问题。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
