下载URL不要指向下载文件，而是一个request，服务器接到request时判断session，鉴权通过后，由服务器读二进制文件再写到response里给客户端，否则response直接写报错信息。
为session设置一个过期的时间的方法
1、操作系统： 步骤：开始——〉管理工具——〉Internet信息服务(IIS)管理器——〉网站——〉默认网站——〉右键“属性”——〉主目录——〉配置——〉选项——〉启用会话状态——〉会话超时（在这儿设置你要的超时时间，单位分钟）。确定即可。
2、ASP.NET应用程序中Session过期时间的设置 在ASP.NET这样的Web应用中，Session是用来保存用户状态的常用手段，不过由于服务器内存空间是有限的，所以Session过期时间设置是很有必要的。在ASP.NET中如何设置Session的过期时间呢，很简单，修改web.config配置。 具体修改方法如下，在web.config中进行如下配置 在这里指的是Session过期时间为30分钟。也就是说30分钟后如果当前用户没有操作，那么Session就会自动过期了。
3、在调用Session的cs页中，Load事件里面写以下 Session.Timeout = 30;
4、Store session in asp.net state service
1 可以在web.xml中进行配置：
<session-config>
<session-timeout>30</session-timeout>
</session-config>
此时值的单位为分钟，<=0则表示永远不会超时。
2以编程方式进行设置：
使用HttpSession 的setMaxInactiveInterval(int sec )进行session 超时时间的设置
此时值的单位为秒，<0（和上一个是不一样的）则表示永远不会超时。
也可以查看超时时间：调用HttpSession 的getMaxInactiveInterval(),单位是秒
