cookies - 是否可以将 cookie ASP.NET_sessionID 标记为安全

Question

经过安全审核后，我收到了将 cookie ASP.NET_sessionID 设置为“安全”的要求。

目前该标志尚未设置。

我可以使用 SessionIDManager 将其设置为安全吗？在使用以下代码登录后，我已经使用它来更改 session cookie 的值:

            System.Web.SessionState.SessionIDManager manager = new System.Web.SessionState.SessionIDManager();
            string oldId = manager.GetSessionID(System.Web.HttpContext.Current);
            string newId = manager.CreateSessionID(System.Web.HttpContext.Current);
            bool isAdd = false, isRedir = false;
            manager.SaveSessionID(System.Web.HttpContext.Current, newId, out isRedir, out isAdd);

编辑

我看到我可以设置

<httpCookies httpOnlyCookies="false" requireSSL="true" />

但我只想保证这一个 cookie 的安全

Answer 1

只需编写代码即可通过安全审核。

void Session_Start(Object sender, EventArgs e)
    {

        if (Request.IsSecureConnection)
            {
                Response.Cookies["ASP.NET_SessionId"].Secure = true;
            }

    }