仅当没有 Cookie 时，如何在 Cookie 上设置安全和 HTTP 标志？ ( .htaccess )

Question

我目前正在使用这个htaccess来添加secure和HTTPonly

Header always edit Set-Cookie (.*) "$1; HTTPOnly; Secure"

但是因为这个域上的一个cookie已经有这个标志，我怎么能只将它应用到没有它的那些？因为我没有直接访问服务器的权限，所以需要通过 .htaccess 来完成

Answer 1

以下方法将检查浏览器是否向我们发送了 HTTPOnly 和 Secure Cookie。如果这些不包括在内，您可以像往常一样使用 Header 命令进行设置。

<If "%{HTTP_COOKIE}" !=~ "m#HTTPOnly.*Secure#">
    Header always edit Set-Cookie (.*) "$1; HTTPOnly; Secure"
</If>

这仅适用于 apache 2.4+

Answer 2

这个问题的解决方案是这样的：

Header always edit Set-Cookie (.*) "$1; HttpOnly; Secure"
#Strip off double Secure or HttpOnly settings as if App and Apache sets above you can sometimes get both
Header always edit Set-Cookie (?i)^(.*);\s?Secure;?\s?(.*)?;?\s?Secure;?\s?(.*)$ "$1; $2; $3; Secure"
Header always edit Set-Cookie (?i)^(.*);\s?HttpOnly;?\s?(.*)?;?\s?HttpOnly;?\s?(.*)$ "$1; $2; $3; HttpOnly"
#Strip off double ;; settings
Header always edit* Set-Cookie (;\s?){2,} "; "