保护ASP.NET中的Cookie

Question

我知道这个问题已经问过很多次了，但是我不知道为什么我无法解决这个问题

<system.web>
 <httpCookies httpOnlyCookies="true" requireSSL="false" domain=""/>
 <sessionState mode="InProc" customProvider="DefaultSessionProvider" timeout="20" cookieName="id">
</system.web>

但它不能按要求工作

有人可以帮助我如何修复它或我做错了什么。

我试图将其固定在App的Global.asax中的代码中

protected void Application_EndRequest()
        {
           foreach (string s in Response.Cookies.AllKeys)
            {
                if (s.ToLower() == "id")
                {
                    Response.Cookies[s].HttpOnly = true;                      
                }
            }
        }

环境： ASP.NET MVC

问候

Answer 1

这将为您提供帮助。

有两种方法，web.config中的一个httpCookies元素允许您打开ReqiresSSL。 secure属性指示浏览器仅在通过SSL / TLS连接发送的请求中包含cookie。

httpOnlyCookies属性会礼貌地要求Web浏览器不要与脚本或Applet共享cookie。 对于会话cookie，此属性应始终为true。 与secure属性一样，仅在响应中设置cookie时才能看到httpOnly。

https://stackoverflow.com/a/6190050/1891919

https://www.jardinesoftware.net/2015/10/13/securing-the-net-cookies/