JackBoner

Распихать по разным местам приложения обфусцированный код, который будет проверять валидность ключа, и который потом (если надо) все равно нафиг поломают.

Лучшая защита - вынос коммерчески значимого функционала на внешний сервер.

В хроме есть чудесная функция breakpoint by events, выбираешь там XHR events ставишь галочки и вуаля

Давно уже с asp.net не работал, но возможно стоит посмотреть тогда в сторону сохранения сессий в БД, либо на уровне самого сервера, если перезапускается конкретно только твой процесс сайта.

https://msdn.microsoft.com/en-us/library/ms178586(v=vs.140).aspx

@maNULL и не говнокод вовсе.
но так лучше:

$string = "12,14,152,66,15";
$res = explode(',', $string);
$pos = array_search(15, $res);