保存在数据库里。
在WEB。config里
   <!--  会话状态设置          默认情况下,ASP.NET 使用 cookie 标识哪些请求属于特定的会话。          如果 cookie 不可用,则可以通过将会话标识符添加到 URL 来跟踪会话。         若要禁用 cookie,请设置 sessionState cookieless="true"。    -->
    <sessionState mode="SQLServer" stateConnectionString="tcpip=127.0.0.1:42424" sqlConnectionString="data source=127.0.0.1;user id=sa;password=;" cookieless="false" timeout="5000"/>