保护 asp.net webform cookie 不起作用

Question

我想以某种方式保护 cookie，即使登录 cookie 被盗，它现在应该仍然可以工作，

我在 web-form .net framework 4.0 中使用默认的 asp.net 成员来保护网站上的某些页面，因此只有注册用户才能在正确登录后访问页面。但是如果中间人偷了cookie，他们仍然可以登录。

如何保护 cookie 不被盗

我确实从我身边跟随

• 我现在在网站上使用 https
• 其次，我在 web.config <httpCookies httpOnlyCookies="true" requireSSL="true" /> 中添加了以下代码

即使收到这些消息后，我也能够通过在不同浏览器中添加 cookie 名称和 cookie 值来登录安全网站，而无需实际使用登录表单。如果我采取了上述两个步骤，那么为什么我的 cookie 没有加密，即使 cookie 被盗，它也不应该工作.. 我做错了什么

Answer 1

您目前在 asp.net 中使用了最好的 cookie 保护。 httpOnlyCookies 设置阻止您网站上的任何（可能是注入的）javascript 访问令牌，requireSSL 设置阻止浏览器通过非https 连接发送它们。

这通常非常好，与大多数网站一样好或更好。

任何可以中间人连接的人，或者可以访问您机器上的 cookie 值的人仍然可以访问您的网站，但没有标准的有效防御措施。

大概是为了复制cookie，你访问了开发者工具，直接复制了值。大多数攻击者在没有破坏最终用户机器的情况下无法做到这一点，例如使用恶意浏览器扩展程序。您的 httpOnly 标志阻止他们使用脚本执行此操作。

同样，您可能已经安装了 Fiddler 之类的代理来检查流量，或者企业可能拥有过滤内容的 http 代理，但您的计算机上将安装一个可信证书，允许进行此检查。没有它，浏览器将不允许页面加载。

您可以做一些事情来进一步改进它，您可以查看HSTS，但是如果您做错了会产生严重的后果。 TLS 1.3 还包含额外的保护，但它是全新的，因此对它的支持非常多变。

向您的域发出的任何常规 ajax 请求仍会发送 cookie，但 javascript 无法访问 cookie 的内容。同样，使用Fetch API 的框架也可以配置为发送凭据。任何需要将您的身份验证cookie发送到不同域的第三方插件都做错了。