c# - ASP.NET 中的安全 Cookie

Question

我对 ASP.Net 还是有点陌生​​，正在开始使用 cookie。我对他们有一些了解，并且想知道关于他们的一些事情。

这是关于保护 cookie 的。我已将 httpOnlyCookies 设置为 true，如下所示。

<httpCookies httpOnlyCookies="true"/>

我注意到有一个 Cookie.Secure 属性，我将其启用为 true。我对这两者进行了研究，但无法理解两者之间的差异。有人可以提供一些指导吗？如果我将两者都设置为 true 会发生什么？除了使用 SSL，我还能做些什么来保护 cookie？

非常感谢!

Answer 1

httpOnlyCookies=true 是站点范围的 Web 配置设置，可防止客户端脚本访问 cookie。无论 channel 有多安全，即通过 http 和 https，cookie 仍然会被传输。

Cookie.Secure 告诉浏览器仅在 channel 安全时才发送 cookie。即 仅 https。

所以前面的设置描述的是什么可以访问cookie。后者配置其传输安全要求。