ASPNET MVC 5：不存在防伪cookie

Question

我有一个使用antiforgerytoken保护所有表单的应用程序。 该应用程序托管在网站上，该网站的http绑定设置为8080，而https设置为443（默认https端口）。 到目前为止，我确保所有请求都是通过https发出的（MVC应用程序正在使用必需的https过滤器，Web配置将cookie条目requiresl设置为true，而owin将auth cookie也设置为https）。

最近，我们不得不进行更改，因为现在我们有了一个可以为我们处理https请求的防火墙。 它将始终通过https服务最终用户的响应，但是我更改了应用程序，以便可以通过http调用它。

我从配置中删除了必需的https过滤器，必需的ssl ssl，并更改了owin auth cookie设置，并认为一切都会好的。 不幸的是，这没有发生，我已经开始在验证过程中得到防伪令牌cookie缺少异常的信息。 现在，问题是，如果使用https，一切正常，但是如果更改为http（位于端口8080），它将中断。

我最终从全局asax内更改了防伪配置设置，但是无法找到关于上一个问题的很好的解释。 换句话说，为什么https访问没有任何问题，而http访问却最终抛出异常，表明找不到伪造的cookie ...

有任何想法吗？

谢谢，路易斯

Answer 1

您很有可能正在使用安全cookie（使用Secure标签发送的cookie）。 这些将仅在HTTPS连接上存在。 一旦SSL删除，所有安全cookie也会被删除。 您可以将其关闭，但这实际上对您的用户开放了一个攻击载体，允许他们的cookie通过协议切换以纯文本形式显示。

您能做的最好的事情就是始终保持它的安全。 仅仅因为防火墙提供了SSL，并不意味着您也无法在站点上实现SSL。 唯一的区别是您将需要一个自签名证书，因为显然外部域将不适用。 除此之外，在内部代理安全站点而不是不安全站点应该没有问题。