如何使用 HTTPOnly/ Secure 属性保护 ColdFusion cookie？答案

【问题标题】：How to secure ColdFusion cookies with HTTPOnly/ Secure attribute?如何使用 HTTPOnly/ Secure 属性保护 ColdFusion cookie？
【发布时间】：2021-11-17 05:07:10
【问题描述】：

我正在尝试帮助一家在 ColdFusion 网站上遇到问题的公司。问题是由于“具有 HTTPOnly/安全标志属性的不安全 cookie”导致 PCI 扫描失败。

之前我通过编辑 web.xml 文件为其他 3 个 cookie 修复了此错误：JSESSIONID、CFID、CFTOKEN；但是，这一次的问题显然是在 Application.cfm 中创建的会话 cookie。

具体来说：

<cfapplication name="testname" sessionmanagement="Yes" 
loginStorage="session" CLIENTMANAGEMENT="YES" 
SESSIONTIMEOUT=#CreateTimeSpan(0,0,30,0)#>

到目前为止，我已尝试按照 Adobe (https://helpx.adobe.com/coldfusion/cfml-reference/coldfusion-tags/tags-a-b/cfapplication.html) 的 CFApplication.html 来解决此问题，但没有任何运气。在解决此问题时，我们感谢您提供任何帮助或指导。提前谢谢！

【问题讨论】：

通常不需要编辑 web.xml 文件。您可以使用 setClientCookies 变量在 application.cfm/cfc 中设置 cookie 处理，或使用应用程序逻辑中的 cfcookie 标记（重新）设置 cookie。
是的，但是这个客户有多个站点，所有站点都使用 Coldfusion 托管，所有站点都带有不安全的 cookie，这是我发现一次性修复它们的最快途径。调查一下，Tomcat 和 CF11 的这些 cookie 似乎存在问题。这是我用于该修复的来源：community.adobe.com/t5/coldfusion-discussions/…
您能显示设置该会话 cookie 的代码吗？到目前为止，您使用 cfapplication 标签提供的内容是设置您已经修复的 3 个 cookie。
是的，我尝试编辑原帖；但是，它不会让我。当前代码是 ''' ''' 这就是全部存在于当前 applications.cfm 文件中。
在您进行这些更改后他们是否重新扫描？如果您已经使用浏览器开发工具验证了这些设置确实在 cookie 上启用，那么这是没有意义的。

标签： cookies coldfusion session-cookies coldfusion-11

【解决方案1】：

您是否有权访问这些站点的 ColdFusion 管理员？在 Server Settings-->Memory Variable 部分是会话 cookie 的通用设置：HTTPOnly 和 Secure Only。确保这些已打开。

此外，网站是否使用 CFCOOKIE 标签。确保这些标签将 'secure' 和 'httponly' 属性设置为 TRUE。

最后，网站是否在任何 CFPARAM 标记/调用中声明了 COOKIE 范围变量？如果是这样，它们将设置 cookie，并且是不安全的，并且我没有发现任何设置可以使它们如此。

【讨论】：

前两点是。我最初的反应是通过 CF 管理员来确保安全。但是，这不起作用，我通过关注community.adobe.com/t5/coldfusion-discussions/… 找到了另一种保护方法。 CFCookie 通过网站在这里和那里声明；但是，我似乎已经尽可能地解决了这个问题。 PCI 扫描现在遇到的问题是它说 CFApplication 会话不安全/未设置为 HTTPOnly。我上面提供的代码就是会话的创建。
至于你最后一点，我想知道这是否可能是问题所在，这个网站（以及其他网站）是在 2014 年至 2016 年创建的，并且创建者已经去世了。我是 CF 的新手，在 Web 开发方面只有几年的经验，所以这对我来说是一项半的任务。我为这家公司修复了大约 30 个 cookie，但最后一个让我大吃一惊！
PCI 扫描给我的唯一代码是我在上面的 CFApplication 代码中提供的会话名称。我已更改名称以保持站点的匿名性，但该会话的实际名称是唯一的，并且仅在整个站点中找到一次，在 CFApplication.cfm