MVC ASP.NET中的SSL和Https

Question

請你幫我一下。 我對如何使用屬性[RequiresHttps]和<httpCookies requireSSL="true" />感到有些困惑。 我的問題是：

如果我使用<authentication mode="Forms"> <forms requireSSL="true">和<httpCookies requireSSL="true" />那么我不需要使用[RequiresHttps]屬性嗎？

我認為， <httpCookies requireSSL="true" />指示應用程序使用https管理auth cookie。

Answer 1

為了擁有一個安全的網站，您需要使用

1. RequiresHttps強制將請求僅提供給https，我建議將此屬性設置為全局過濾器
2. 設置屬性<httpCookies requireSSL="true" httpOnlyCookies="true" /> ，其中httpOnlyCookies禁用從客戶端腳本訪問cookie的功能，requireSSL強制所有cookie僅通過安全的http請求傳遞

有關保護cookie的更多詳細信息，請參閱Troy Hunt的這篇文章。