代理背后的安全表单身份验证

Question

我们在负载均衡器上使用 Stunnel（去除 SSL）和 HAProxy - 然后通过 HTTP 将请求发送到 IIS。

我们遇到的问题是我们希望我们的站点 (ASP.NET) 以安全的方式设置 cookie - 即通过将 requireSSL 属性设置为 true。

当我们设置此属性并向站点发出 HTTPS 请求时，我们会收到此错误：

The application is configured to issue secure cookies. These cookies require the browser to issue the request over SSL (https protocol). However, the current request is not over SSL.

如果请求是通过 SSL 从负载均衡器发出的，是否可以信任 Web 服务器？或者这不是问题，因为只能通过 SSL 访问我们的网站（仅开放 443）？

Answer 1

对于 ASP.NET MVC 3 用户（我们就是这样），您还可以使用我放在一起的以下 GlobalFilter 来处理此问题，然后它可以保护发回的任何 cookie：-

namespace MyNamespace
{
    public class SecureCookiesAttribute : FilterAttribute, IResultFilter
    {
        public void OnResultExecuting(ResultExecutingContext filterContext)
        {
            foreach (string cookieName in filterContext.HttpContext.Response.Cookies.AllKeys)
                filterContext.HttpContext.Response.Cookies[cookieName].HttpOnly = true;

            if (filterContext.HttpContext.Request.IsLocal)
                return;

            foreach (string cookieName in filterContext.HttpContext.Response.Cookies.AllKeys)
                filterContext.HttpContext.Response.Cookies[cookieName].Secure = true;
        }

        public void OnResultExecuted(ResultExecutedContext filterContext) { }
    }
}

这将在任何 cookie 上设置 HTTPOnly 标志，然后如果请求来自非本地源，它也会设置安全标志。这允许我们通过 HTTP 而不是 HTTPS 进行本地调试（但如果您所做的一切都是通过 HTTPS 进行的，则可以简单地删除此检查）。

Answer 2

而不是这个：

FormsAuthentication.SetAuthCookie(email, false);

尝试这个：

var cookie = FormsAuthentication.GetAuthCookie(email, false);
cookie.Secure = true;
HttpContext.Current.Response.Cookies.Add(cookie);

如果您使用 ASP.NET MVC，您还可以使用全局操作过滤器，它在响应中的所有 cookie 上设置安全标志