asp.net - 在 Asp.Net 中安全启用 HTTPOnly

Question

我们已为我们的网站启用 HttpOnly。

<configuration>
    <system.web>
        <httpCookies httpOnlyCookies="true" requireSSL="true" />
    </system.web>
</configuration>

当我们访问非安全区域的站点时，这工作正常。但在安全实时区域(Https)中，这不起作用，我们能够获取 session key 。如何缓解它。任何想法都会很有帮助。

我正在尝试使用 Asp.Net 2.0

Answer 1

我这里有很多解决方案，伙计。请随意在这些解决方案中进行选择，以满足您的需求

• 在 Global.asax 中，按如下所示覆盖 Session_Start 方法。

  <script runat="server">       
   void Session_Start(object sender, EventArgs e) 
  {
  
      if(Response.Cookies.Count > 0)
      foreach(string s in Response.Cookies.AllKeys)
       if(s == System.Web.Security.FormsAuthentication.FormsCookieName ||
              s.ToLower().Equals("asp.net_sessionid") )
      Response.Cookies[s].HttpOnly = false;
  

  }

引用:http://nerd.steveferson.com/2007/09/14/act-sessionid-and-login-problems-with-asp-net-20/#.URiXUqWzd9c

• 请注意，在 ASP.NET 1.1 中，System.Net.Cookie 类不支持HttpOnly 属性。因此，要添加 HttpOnly 属性您可以将以下代码添加到您的应用程序的 cookie 中

  Global.asax 中的 Application_EndRequest 事件处理程序:
  

  protected void Application_EndRequest(Object sender, EventArgs e)
  {
    string authCookie = FormsAuthentication.FormsCookieName;
  
    foreach (string sCookie in Response.Cookies)
    {
          if (sCookie.Equals(authCookie))
          {
                Response.Cookies[sCookie].Path += ";HttpOnly";
          }
    }
  }
  

引用:http://blogs.msdn.com/b/dansellers/archive/2006/03/13/550947.aspx

• 将此添加到您的 Global.asax

  void Application_EndRequest(Object sender, EventArgs e)
  {
     if (Response.Cookies.Count > 0)
     {
         foreach (string s in Response.Cookies.AllKeys)
         {
             if (s == "ASP.NET_SessionId")
             {
                 Response.Cookies["ASP.NET_SessionId"].HttpOnly = false;
             }
         }
     }
  

  }

引用:来自本论坛http://forums.asp.net/p/955272/1177574.aspx#1177574

您也可以尝试这个帖子HttpOnly Cookies on ASP.NET 1.1作者:Scott Hanselman，但它是 ASP.NET 1.1