Django Cookie 前缀以通过 securityheaders.com

Question

securityheaders.com 使我的配置失败并出现以下错误:

Set-Cookie  There is no Cookie Prefix on this cookie.

这是 cookie 的值:

Set-Cookie  sessionid=123456789123456789123456789; expires=Thu, 12 Sep 2019 06:51:38 GMT; HttpOnly; Max-Age=1209600; Path=/; SameSite=Strict; Secure

我试图在 settings.py 中添加 cookie 前缀:

CSRF_COOKIE_NAME = '__Secure-csrftoken'

但它似乎是一个不同的参数。我已经搜索了文档，这就是我能找到的所有内容，似乎不适用。

securityheaders.com on cookie prefixes 声明它需要以 __Secure- 或 __Host- 开头

Answer 1

您使用了错误的设置，这不是 CSRF_COOKIE_NAME [Django-doc] ，而是 SESSION_COOKIE_NAME [Django-doc] :

Default: 'sessionid'

The name of the cookie to use for sessions. This can be whatever you want (as long as it’s different from the other cookie names in your application).

请注意，它提示的 cookie 的名称是 sessionid :

Set-Cookie  sessionid=123456789123456789123456789; expires=Thu, 12 Sep 2019 06:51:38 GMT; HttpOnly; Max-Age=1209600; Path=/; SameSite=Strict; Secure

因此，您需要将其指定为:

SESSION_COOKIE_NAME = '__Secure-sessionid'
CSRF_COOKIE_NAME = '__Secure-csrftoken'