从服务器接收的 Cookie 是安全的，但发送到服务器的 Cookie 不安全 ASP.NET

Question

在我的 ASP.NET Web 应用程序中，我进行了以下更改，通过将以下条目添加到 web.config 来使 ASP.NET_SessionID 和 .ASPXAUTH Cookies 安全

<httpCookies httpOnlyCookies="true" requireSSL="true" />

并添加以下标签

<forms requireSSL ="true" /> 

但我的问题是，从服务器接收到的 Cookie（网络->Cookies->方向列的值为接收）已将 Secure 和 HttpOonly 标志设置为 true。当我使用 IE 11 开发工具进行调试时找到了信息，但是发送到服务器的 cookie 数据（网络-> Cookies-> 方向列的值为已发送）没有任何 Secure 或 HttpOnly 标志设置为 true。

这是默认行为吗？如果是这样，为什么发送到服务器的数据没有设置 Secure 和 HttpOnly 标志？除了上述对配置文件所做的更改之外，如何设置它。

Answer 1

Cookie 标志，如 Secure 和 HttpOnly，仅从服务器发送到客户端。你永远不会在交通中看到他们走另一条路。如果您想确保 cookie 是安全的，请让浏览器通过 HTTP（而不是 HTTPS）发出请求，并查看 cookie 是否仍然存在（它不应该存在）。如果您想确保 cookie 是 HttpOnly，请在浏览器中打开您的站点，然后使用开发工具中的 JS 控制台检查 document.cookie 的值；您应该会看到您拥有的所有非 httponly cookie，但没有 httponly cookie。

Cookie 本质上是客户端的东西。它们是服务器告诉客户端“每次您向我发出请求时，都包含这些信息”的一种方式。安全标志将其修改为“每次您通过安全连接向我提出请求时，请包含此信息（但永远不要通过不安全的连接泄露它）”。一个符合标准的用户代理——也就是说，一个网络浏览器——应该遵守这些指令。但是，没有其他等效指令；服务器根本不需要对客户端发送的 cookie 做任何事情，并且没有“客户端在服务器上设置 cookie”相当于服务器可以在客户端上设置 cookie 的方式。指令（包括 Secure、HttpOnly、Domain、Expires 等）仅在 设置 cookie 时使用。