单个 cookie 设置是否优先于 web.config 中的设置？

Question

假设我的 web.config 在适当的地方有以下内容：

<httpCookies requireSSL="true" />

默认情况下，这会将所有 httpCookies 设置为安全。如果我有以下 cookie：

var cookie = new HttpCookie("ResultsPerPage", "50");
cookie.Secure = false;
Response.Cookies.Add(cookie);

1. 此 cookie 是否会将 Secure 设置为 True 或 False？
2. 如果我们尝试以这种方式设置 HttpOnly，这是否也适用？
3. 反之亦然（requireSSL = "false" 和 cookie.Secure=true）？
4. 上述方法适用于.NET，但您也可以在PHP 和Java 中设置cookie。如果我对 Java 和 PHP 使用可比较的方法（脚本中的 web.xml/inline 或 php.ini/），结果是否与 .NET 中的相同？

Answer 1

使用浏览器的开发控制台检查 HTTP 响应标头和 cookie 可以让您深入了解这一点。出于此答案的目的，我使用了 ASP.Net 和 Chrome 浏览器。回答您的问题 - 是的，个别 cookie 设置确实优先于 web.config 设置。

像这样设置配置 -

<httpCookies requireSSL="true" httpOnlyCookies="true"/>

产生这样的响应标头 -

还有像这样的 cookie -

像这样在代码中为单个 cookie 设置首选项 -

var cookie = new HttpCookie("ResultsPerPage", "50");
cookie.Secure = false;
cookie.HttpOnly = false;
HttpContext.Response.Cookies.Add(cookie);

会产生这样的响应头 -

还有像这样的 cookie -

您可以通过检查 cookie 和响应标头来验证 java 和 php 是否具有相同的行为。

希望这会有所帮助。