В жизненном цикле запроса страницы asp.net есть места, где у вас еще нет доступа к состоянию сеанса из-за отсутствия действительного сеанса пользователя, такого как Application_Authorize, где у нас еще нет аутентифицированного пользователя, Сессия будет нулевой. Реальная реализация хранилища сеансов не должна вызывать беспокойства, равно как и порядок сериализации данных.