根据上下文使用不安全 cookie 和安全 cookie

Question

我们目前正在尝试转换一些遗留应用程序。在开发过程中，我们在安全 cookie 方面遇到了很多问题。虽然这肯定在我们的待办事项清单上，但它却停止了其他功能的工作。我们希望能够在我们的开发环境中设置 cookie，以便如果我们通过 HTTP 访问该网站，它会使用不安全的 cookie，但如果他们通过 HTTPS 访问该网站，它会使用安全 cookie。我们正在尝试使用 IIS Url Rewrite 来完成此任务。我模拟了这一点：

<rewrite>
    <outboundRules>
        <rule name="Enable secure Cookies {ProjectName}" preCondition="Missing Secure Cookies {ProjectName}">
            <match serverVariable="RESPONSE_Set_Cookie" pattern=".*" negate="false" />
            <action type="Rewrite" value="{R:0}; secure" />
            <conditions>
                <add input="{HTTPS}" pattern="^Off$" negate="true"/>
            </conditions>
        </rule>
        <rule name="Enable http only {ProjectName}" preCondition="Missing Http Only {ProjectName}">
            <match serverVariable="RESPONSE_Set_Cookie" pattern=".*" negate="false" />
            <action type="Rewrite" value="{R:0}; HttpOnly" />
            <conditions>
                <add input="{HTTPS}" pattern="^Off$" negate="true"/>
            </conditions>
        </rule>
        <preConditions>
            <preCondition name="Missing Secure Cookies {ProjectName}">
                <add input="{RESPONSE_Set_Cookie}" pattern="." />
                <add input="{RESPONSE_Set_Cookie}" pattern="; secure" negate="true" />
            </preCondition>
            <preCondition name="Missing Http Only {ProjectName}">
                <add input="{RESPONSE_Set_Cookie}" pattern="." />
                <add input="{RESPONSE_Set_Cookie}" pattern="; HttpOnly" negate="true" />
            </preCondition>
        </preConditions>
    </outboundRules>
</rewrite>

我将其添加到中。每个项目的每个 web.config 文件的标记（实际上我将 {ProjectName} 替换为项目名称，以便不同的项目具有唯一命名的规则和先决条件）。不幸的是，当我从 HTTP 访问该网站时，我仍然获得安全的 cookie。来自 HTTP 时如何否定该规则？

或者，如果 HTTPS 关闭，是否可以删除安全性和 httponly？

Answer 1

我的重写语法是正确的。问题是我错过了一个客户端 cookie，该 cookie 是从不安全的上下文中安全创建的，并且导致了失败。我将保留这个问题，以防其他人对同一站点中的安全和不安全 cookie 有类似的需求。对于产品来说非常糟糕的做法，但是对于开发来说非常好！