asp.net-mvc - 如何向 Azure session Cookie 添加 HttpOnly 和 Secure 属性

Question

在我的 ASP.NET MVC 4 应用程序中，我使用第三方服务。该服务的使用条款之一是向所有 session cookie 添加 HttpOnly 和 Secure 属性。

网站托管在 Windows Azure 上并使用 SSL。

我在 root web.config 中添加了以下设置:

<httpCookies httpOnlyCookies="true" requireSSL="true" lockItem="true"/>

<authentication mode="Forms">
    <forms loginUrl="~" timeout="2880" requireSSL="true" />
</authentication>

现在我的应用程序 session cookie“.ASPXAUTH”具有 HttpOnly 和 Secure 属性。

但主要问题是 Azure Balancer“WAWebSiteSID”和“ARRAffinity”cookie 没有此属性。

您能帮我找到适当的解决方案来向它们添加缺少的属性吗？

Answer 1

我不认为您可以修改 secure 和 HttpOnly 属性，因为 cookie 将添加到应用程序下游的响应中(即通过位于站点前面的负载平衡设备)。

当然，务实的问题是“为什么”？如果不允许客户端脚本或中间人在线访问这些 cookie，您会获得什么优势？它们只不过是旨在将客户端与站点实例联系起来的字节数据，不包含任何个人性质的内容，也不为攻击者提供任何可以想象的好处(至少我不能想到)。

答案可能是“因为它让安全扫描工具保持快乐”，这可能会让你感到温暖和模糊，但当然它实际上并没有改变站点的实际安全地位。