将会话 cookie 设置为 HttpOnly

Question

我正在使用 Entity Framework 6.0 开发一个 ASP.NET MVC 服务器。据我所知，它设置为与 EF 4.5 (<httpRuntime targetFramework="4.5" />) 兼容。

我想确保会话 cookie（即存储会话标识符的 cookie）是 HttpOnly，因为这是行业范围的最佳实践，有助于防止跨站点请求伪造攻击。

问题是，它是由框架自动创建的，所以我不能像所有其他 cookie 一样在调用构造函数后立即更改对象的属性。

在Web.config 中，我设置了<httpCookies httpOnlyCookies="true" />，然而——当我检索会话cookie 时——它不是 HttpOnly（它的HttpCookie.HttpOnly 属性设置为false）。我不知道如何改变它。

我在 Microsoft 的文档中找不到任何关于 Web.config 的 <sessionState> 可以改变这种情况的内容。在 Stack Overflow 上，我只找到了 a four year old question talking about how session cookie is HttpOnly by default，这对我来说是完全相反的，而 a five days old question asking why session cookie is not HttpOnly by default - 由于某种莫名其妙的原因被关闭 - 没有评论 - 作为前者的副本。

我知道I can retrieve the session cookie, check it and set HttpOnly=true on every request（或者使用稍微精致/骇人听闻的过滤器，或者在登录时手动设置它，或者......），但我不是一个血淋淋的野蛮人 必须有适当的方法来做到这一点。

那么，如何将会话 cookie 设置为 HttpOnly？

Answer 1

会话 Cookie 将始终为 httponly。您不能修改或覆盖它。

当我检索会话 cookie 时 - 它不是 HttpOnly（它的 HttpCookie.HttpOnly 属性设置为 false)。

var cookie = Request.Cookies["ASP.Net_SessionId"];
if (cookie != null)
{
    var httpOnly = cookie.HttpOnly; // <-- This is always false
}

HttpOnly 值在服务器端始终为 false，因为客户端浏览器不会将 cookie 是否在 httponly 中发送回服务器。

如何验证

您可以使用 cookie 编辑器，例如 Chrome Plugin EditThisCookie。