如何在 ASP.NET 会话 Cookie 上设置安全标志？

Question

如何在 ASP.NET 会话 Cookie 上设置安全标志，以便它仅通过 HTTPS 传输，而绝不会通过纯 HTTP 传输？

Answer 1

在 元素中，添加以下元素：

<httpCookies requireSSL="true" />

但是，如果您的 system.web\authentication 中有 元素 块，那么这将覆盖 httpCookies 中的设置，将其设置回默认的 false。

在这种情况下，您还需要将 requireSSL="true" 属性添加到 forms 元素。

因此，您最终会得到：

<system.web>
    <authentication mode="Forms">
        <forms requireSSL="true">
            <!-- forms content -->
        </forms>
    </authentication>
</system.web>

请参阅此处< /a> 和 这里获取这些元素的 MSDN 文档。

Answer 2

有两种方法，web.config 中的一个 httpCookies 元素允许您打开 requireSSL，它仅传输所有 cookie，包括仅使用 SSL 的会话，以及也在表单身份验证中，但如果您在 httpcookies 上打开 SSL，您也必须在表单配置中打开它。

为清楚起见进行编辑：
将其放入

<httpCookies requireSSL="true" />

Answer 3

如果您谈论的是企业环境中签入的代码，事情很快就会变得混乱。我们发现最好的方法是让 web.Release.config 包含以下内容：

<system.web>
  <compilation xdt:Transform="RemoveAttributes(debug)" />
  <authentication>
      <forms xdt:Transform="Replace" timeout="20" requireSSL="true" />
  </authentication>
</system.web>

这样，开发人员就不会受到影响（在调试模式下运行），并且只有获得发布版本的服务器才需要cookie 为 SSL。

Answer 4

基于@Mark D 的回答，我将使用 web.config 转换将所有各种 cookie 设置为安全。这包括设置 anonymousIdentification cookieRequireSSL 和 httpCookies requireSSL。

为此，您将 web.Release.config 设置为：

<?xml version="1.0"?>
<configuration xmlns:xdt="http://schemas.microsoft.com/XML-Document-Transform">
  <system.web>
    <httpCookies xdt:Transform="SetAttributes(httpOnlyCookies)" httpOnlyCookies="true" />
    <httpCookies xdt:Transform="SetAttributes(requireSSL)" requireSSL="true" />
    <anonymousIdentification xdt:Transform="SetAttributes(cookieRequireSSL)" cookieRequireSSL="true" /> 
  </system.web>
</configuration>

如果您将角色和表单身份验证与 ASP.NET Membership Provider （我知道，它很古老）一起使用，您还需要将 roleManager cookieRequireSSL 和 forms requireSSL 属性也设置为安全。如果是这样，您的 web.release.config 可能如下所示（包含在上面以及会员 API 的新标签）：

<?xml version="1.0"?>
<configuration xmlns:xdt="http://schemas.microsoft.com/XML-Document-Transform">
  <system.web>
    <httpCookies xdt:Transform="SetAttributes(httpOnlyCookies)" httpOnlyCookies="true" />
    <httpCookies xdt:Transform="SetAttributes(requireSSL)" requireSSL="true" />
    <anonymousIdentification xdt:Transform="SetAttributes(cookieRequireSSL)" cookieRequireSSL="true" /> 
    <roleManager xdt:Transform="SetAttributes(cookieRequireSSL)" cookieRequireSSL="true" />
    <authentication>
        <forms xdt:Transform="SetAttributes(requireSSL)" requireSSL="true" />
    </authentication>
  </system.web>
</configuration>

web.config 的背景在此处转换： http://go.microsoft.com/fwlink/?LinkId=125889

显然这超出了OP的原始问题，但如果你不将它们全部设置为安全 您可以预期安全扫描工具会注意到，并且您会在报告中看到危险信号。问我怎么知道的。 :)

Answer 5

secure - 此属性告诉浏览器仅在通过安全通道（例如 HTTPS）发送请求时才发送 cookie。这将有助于防止 cookie 通过未加密的请求传递。如果应用程序可以通过 HTTP 和 HTTPS 访问，那么 cookie 就有可能以明文形式发送。