MVC 中 ASPXAUTH Cookie 的安全标志答案

【问题标题】：Secure flag for ASPXAUTH Cookie in MVCMVC 中 ASPXAUTH Cookie 的安全标志
【发布时间】：2018-03-25 10:28:04
【问题描述】：

我们有一个使用 ASP.NET MVC3 开发的应用程序。由 IBM AppScan 工具完成的渗透测试。

已报告问题，ASPXAUTH 不安全。当我检查浏览器的开发者工具时，有一些带有安全标志的 cookie。但 ASPXAUTH 不是其中之一。

我已经在 Web.Config 文件中包含以下代码行。

<httpCookies requireSSL="true"/>

注意：我们没有使用表单身份验证进行登录。我们正在使用Signle登录机制。

将 ASPXAUTH 标记为安全的正确方法是什么？

【问题讨论】：

您的表单标签是什么样的？ - <forms loginUrl="~/Account/Login" 位？
@Alex - 抱歉我忘了说，我们的应用程序不使用表单身份验证。
你使用的是什么身份验证机制
@Alex - 我们正在使用单点登录登录机制。
请您编辑您的问题以显示您的配置方式

标签： c# asp.net asp.net-mvc asp.net-mvc-3 cookies

【解决方案1】：

这对我不起作用，不使用表单身份验证而是使用集中登录。添加以下代码：

foreach (string sCookie in httpCookies.AllKeys)
{
    if (sCookie == FormsAuthentication.FormsCookieName || sCookie.ToLower() == "asp.net_sessionid")
    {
        httpCookies[sCookie].Secure = true;
    }                    
}

【讨论】：

【解决方案2】：

在 Global.asax.cs 文件中添加以下代码。

protected void Application_EndRequest(object sender, EventArgs e)
        {

                if (Response.Cookies.Count > 0)
                {
                    foreach (string s in Response.Cookies.AllKeys)
                    {
                        Response.Cookies[s].Secure = true;
                    }
                }
            }
        }

【讨论】：