使用 JRun/ColdFusion 强制使用 HttpOnly cookie

Question

我们需要确保 CF7 站点上的所有 cookie 均设置为 HttpOnly。

我们使用 jsessionid 来控制我们的会话，JRun 不会将其创建为 HttpOnly。

虽然可以修改现有的 cookie 来添加此设置，但我们需要从一开始就将其设置为 HttpOnly。

有什么建议么？

相关问题：为 HTTPS cookie 设置安全标志。

Answer 1

来自：http://www.petefreitag.com/item/764.cfm

运行 CF 8 或更低版本并使用 Application.cfc

<cfcomponent>
  <cfset this.sessionmanagement = true>
  <cfset this.setclientcookies = false>
  <cffunction name="onSessionStart">
      <cfheader name="Set-Cookie" value="CFID=#session.CFID#;path=/;HTTPOnly">
      <cfheader name="Set-Cookie" value="CFTOKEN=#session.CFTOKEN#;path=/;HTTPOnly">
  </cffunction>
<cfcomponent>

确保已指定 setclientcookies = false。

如果使用 Application.cfm

如果您仍在使用 Application.cfm 文件，则可以使用以下内容：

<cfapplication setclientcookies="false" sessionmanagement="true" name="test">
<cfif NOT IsDefined("cookie.cfid") OR NOT IsDefined("cookie.cftoken")>
   <cfheader name="Set-Cookie" value="CFID=#session.CFID#;path=/;HTTPOnly">
   <cfheader name="Set-Cookie" value="CFTOKEN=#session.CFTOKEN#;path=/;HTTPOnly">
</cfif>

Answer 2

首先，热烈欢迎所有 PCI DSS 难民！ Appscan、Webinspect、Hailstorm 和 NTOSpider 逃犯也受到邀请。 请坐在这里，我为您准备了蛋糕：

虽然对 Peter 来说为时已晚，但实际上可以让 JRun 按照他的要求从一开始就生成 HTTPOnly（且安全）cookie。 查找jrun-web.xml 文件。 它可能位于

C:\JRun4\servers\servername\cfusion-ear\cfusion-war\WEB-INF\ 之类的目录中。

您必须将以下内容添加到 cookie-config 部分：

<cookie-config>
    <cookie-path>/;HttpOnly</cookie-path>
</cookie-config>

如果您的网站是 HTTPS，您还应该启用安全 cookie 选项。 但要小心，它是服务器范围的，而不是特定于应用程序的。 所以它可能不适合您的共享环境：

<cookie-config>
    <cookie-secure>true</cookie-secure>
    <cookie-path>/;HttpOnly</cookie-path>
</cookie-config>

如果您没有陷入MX7或CF8，有一个官方设置 CF9.01 Dcoldfusion.sessioncookie.httponly

我已经在 ColdFusion MX 上对此进行了测试7、它按预期工作。 我躲开了Appscan。

Answer 3

<块引用>

我们的目标是确保第一个请求的安全（并通过扫描），因此如果这篇文章涵盖了这一点，那么它将解决问题。

如果我错了，请纠正我，但听起来如果请求通过 HTTP 传入，您需要重定向到 HTTPS。 在请求发送到 ColdFusion 之前，您是否无法通过 URL 重写规则捕获此问题？