使服务器 cookie 安全

Question

我一直在试图弄清楚如何在我们网站的所有服务器 cookie 上设置安全标志。我们正在运行 .NET 4.5。我尝试将<httpCookies requireSSL="true" /> 添加到 web.config 文件中。我尝试添加<authentication><forms requireSSL="true" /></authentication>。我尝试在代码中设置安全标志。没有任何效果。将以下 c# 函数添加到 Global.asax.cs 应该可以工作，但没有：

    protected void Application_EndRequest()
    {
        string authCookie = FormsAuthentication.FormsCookieName;

        foreach (string sCookie in Response.Cookies)
        {
            if (sCookie.Equals(authCookie))
            {
                // Set the cookie to be secure. Browsers will send the cookie
                // only to pages requested with https
                var httpCookie = Response.Cookies[sCookie];
                if (httpCookie != null) httpCookie.Secure = true;
            }

    }

在我摆脱“if (sCookie.Equals(authCookie))...”语句后，它终于开始工作了。所以这是工作版本：

    protected void Application_EndRequest()
    {
        string authCookie = FormsAuthentication.FormsCookieName;

        foreach (string sCookie in Response.Cookies)
        {
            // Set the cookie to be secure. Browsers will send the cookie
            // only to pages requested with https
            var httpCookie = Response.Cookies[sCookie];
            if (httpCookie != null) httpCookie.Secure = true;
        }
    }

我有几个问题。首先，将其放入 Application_EndRequest 方法背后的逻辑是什么？其次，为什么我必须摆脱 sCookie.Equals(authCookie)) 部分？最后，有没有人找到更优雅的解决方案？谢谢。

Answer 1

如果您通过 HTTP 而不是 HTTPS 执行请求，那么我认为您不能设置 Secure = true。您能否验证您正在通过安全连接运行？如果您在开发盒上进行测试，您可以对如何生成本地证书进行一些 google / bing 搜索。也不要忘记加密您的 cookie，使其在客户端不可读。

这是一些示例代码。

var userName = "userName";
var expiration = DateTime.Now.AddHours(3);
var rememberMe = true;
var ticketValueAsString = generateAdditionalTicketInfo(); // get additional data to include in the ticket

var ticket = new FormsAuthenticationTicket(1, userName, DateTime.Now, expiration, rememberMe, ticketValueAsString);
var encryptedTicket = FormsAuthentication.Encrypt(ticket); // encrypt the ticket

var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket)
    {
        HttpOnly = true,
        Secure = true,
    };

编辑 - 添加链接

还请查看this previous 答案以及如何配置 web.config 以确保 cookie 始终标记为安全。