c# - 使 ASP.NET_SessionId cookie 不是 httpOnly

Question

在 ASP.NET MVC 中用于 session 的 cookie 是 httpOnly(属性设置为 true)。

有没有办法让它不是httpOnly？

我希望能够从 javascript 访问这个 cookie。

即使它不如“如果整个宇宙都反对我怎么办？!”那么安全默认设置。

Answer 1

如果您真的需要它，您可以尝试将它添加到您的 Global.asax 中:

void Application_EndRequest(Object sender, EventArgs e)
{
   if (Response.Cookies.Count > 0)
   {
       foreach (string s in Response.Cookies.AllKeys)
       {
           if (s == "ASP.NET_SessionId")
           {
               Response.Cookies["ASP.NET_SessionId"].HttpOnly = false;
           }
       }
   }    
}

解决方案取自 here .