asp.net - 如何为 ASP.NET_SessionId cookie 设置 HttpOnly？

Question

在我的网络项目中 setting to turn on httpOnlyCookies不在这里。默认情况下它是假的。代码中也没有将 cookie 设置为 HttpOnly 的地方。但是，当我浏览到该站点时，我可以看到 ASP.NET_Session cookie 作为 HttpOnly 传递。它是如何设置为 HttpOnly 的？

Answer 1

ASP.NET session cookie 仅适用于 HTTP，无论 httpOnlyCookies设置链接到您的问题，因为它被烧录到 ASP.NET 中。你不能覆盖这个。

如果您深入了解 System.Web.SessionState.SessionIDManager System.Web 程序集中的类，用于创建 ASP.NET session cookie 的代码如下所示:

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}