使用 Request.ApplicationPath 作为 cookie 路径是否安全

Question

使用这样的代码安全吗？

Response.Cookies[cookieName].Path = Request.ApplicationPath + "/";

我想了解所有极端情况，请...

Answer 1

简而言之，不，这不安全。使用 cookie 路径充满了问题，因为它们在 IE 和 Chrome 中区分大小写，但在 FF 中不区分大小写。这意味着路径大小写的任何不匹配都会导致问题。

1. 生成 Cookie 时，如果您设置的路径与用户输入的路径不同，浏览器将不会存储该路径。

   生成 Cookie 时，如果您设置的路径与用户输入的路径不同，浏览器将不会存储该路径

2. 当用户返回时，如果他们输入的路径与第一次访问不同，浏览器将不会在请求中提供 cookie。

   当用户返回时，如果他们输入的路径与第一次访问不同，浏览器将不会提供 cookie

你想解决什么问题？

Answer 2

如果您的应用程序在域的根目录中运行，则 Request.ApplicationPath == "/"。因此，对于您的代码，cookie 的路径将是 //。您可以通过这样做来回避这个问题：

cookie.Path = Request.ApplicationPath;
if (cookie.Path.Length > 1) cookie.Path += '/';

如 Will 正确指出，您需要确保您的应用程序强制执行一致的 URL 大小写（即将 URL 中包含大写字母的所有请求重定向为相应的小写字母）。

除此之外，我相信你这样做应该没问题。如果您希望所有 cookie 都处于“应用程序范围”，请考虑使用如下代码创建自定义 IHttpModule（或扩展 global.asax.cs）：

private void Application_EndRequest(object sender, EventArgs e)
{
    var app = (HttpApplication)sender;

    var cookiePath = app.Request.ApplicationPath;
    if (cookiePath.Length > 1) cookiePath += '/';

    foreach (string name in app.Response.Cookies.AllKeys)
    {
        var cookie = app.Response.Cookies[name];
        cookie.Path = cookiePath;
    }
}

Answer 3

不，这不安全，原因如威尔所指出的。

但是...您可能想采用此技术来实现你的意图。