MSSQLAndDotNetДелаю так:




Здесь написано:
Для запроса включено состояние сеанса "только для чтения".Это значит, что состояние сеанса не может быть обновлено.Этот параметр переопределяет любое поведение состояния сеанса вне зависимости от того, какое поведение определено при проверке обработчика для запроса

https://msdn.microsoft.com/ru-ru/library/system.web.sessionstate.sessionstatebehavior(v=vs.110).aspx

но тем не менее в любом экшене могу менять содержимое сессии.
Да всё верно.

Помечая вышеуказанным атрибутом контроллер, Вы говорите ASP.NET-у, что при запросах к этому контроллеру не требуется эксклюзивная блокировка сессии.
Тем самым такие контроллеры перестают ждать друг друга, если к ним обращаются в рамках одной сессии.

А как Вы работаете с сессией, остаётся на Вашей совести. ASP.NET-у просто надо знать, ставить эксклюзивную блокировку, или нет.