我这里已经判断Session了，可是我在地址栏输入网址，为什么还能直接进去呢
protected void Page_Load(object sender, EventArgs e)
{
if (Session["userId"] != null)
{
DataSet ds = new DataSet();
db.RunSQL("select userName from Users where userId='" + Session["userId"] + "'", ref ds, "Users");
userName.Text = ds.Tables["Users"].Rows[0][0].ToString();
}
else
{
Response.Redirect("~/back/login.aspx");
}
}
protected void LinkButton1_Click(object sender, EventArgs e)
{
Session.Remove("userId");
Session.RemoveAll();

Response.Redirect("~/back/login.aspx");

}

在login.aspx 的 page_load中你判断存在session了吗？
存在就打开该页面
否则Response.Redirect(登陆页面）

说明Session变量还保留着，没有清除，可以在LinkButton1_Click事件里这样写清除Session
protected void LinkButton1_Click(object sender, EventArgs e)
{
Session.Clear();

Response.Redirect("~/back/login.aspx");

}