asp.net - 从服务器接收的 Cookie 是安全的，但发送到服务器的 Cookie 不安全 ASP.NET

Question

在我的 ASP.NET Web 应用程序中，我进行了以下更改，通过将以下条目添加到 web.config 来确保 ASP.NET_SessionID 和 .ASPXAUTH Cookie 的安全

<httpCookies httpOnlyCookies="true" requireSSL="true" />

并添加以下标签

<forms requireSSL ="true" /> 

但我的问题是，从服务器接收的 Cookie(网络->Cookies->方向列的值为已接收)的 Secure 和 HttpOonly 标志设置为 true。当我使用 IE 11 Developer 工具调试时找到信息，但发送到服务器的 cookie 数据(网络->Cookies->方向列的值为 Sent)没有任何 Secure 或 HttpOnly 标志设置为 true。

这是默认行为吗？如果是这样，为什么发送到服务器的数据没有设置 Secure 和 HttpOnly 标志？除了上述对配置文件所做的更改之外，如何设置它。

Answer 1

Cookie 标志(如 Secure 和 HttpOnly)仅从服务器发送到客户端。你永远不会在交通中看到他们朝相反的方向行驶。如果您想确保 cookie 是安全的，请让浏览器通过 HTTP(而不是 HTTPS)发出请求，并查看 cookie 是否仍然存在(不应该存在)。如果您想确保 cookie 是 HttpOnly，请在浏览器中打开您的站点，然后使用开发工具中的 JS 控制台检查 document.cookie 的值；您应该会看到您拥有的任何非 httponly cookie，但没有 httponly cookie。

Cookie 本质上是客户端的东西。它们是服务器告诉客户端“每次您向我发出请求时，请包含此信息”的一种方式。安全标志将其修改为“每次您通过安全连接向我发出请求时，请包含此信息(但永远不要通过不安全连接泄露它)”。一个合格的用户代理——也就是说，一个网络浏览器——应该遵守这些指令。然而，没有相反的等效指令；服务器根本不必对客户端发送给它们的 cookie 执行任何操作，并且不存在与服务器在客户端上设置 cookie 相同的“客户端在服务器上设置 cookie”的方式。指令(包括 Secure、HttpOnly、Domain、Expires 等)仅在设置 cookie 时使用。