ASP.NET 中的安全 Cookie

Question

我对 ASP.Net 还有些陌生，并且开始使用 cookie。我对他们有一些了解，并且想知道他们的一些事情。

这是关于保护 cookie 的。我将 httpOnlyCookies 设置为 true，如下所示。

<httpCookies httpOnlyCookies="true"/>

我注意到有一个 Cookie.Secure 属性，我将其启用为 true。我对这两者进行了研究，但无法理解两者之间的差异。有人可以提供一些方向吗？如果我将两者都设置为 true 会发生什么？除了使用 SSL，我还能做些什么来保护 cookie？

非常感谢！

Answer 1

httpOnlyCookies=true 是一个站点范围的 Web 配置设置，可防止客户端脚本访问 cookie。无论通道有多安全（即通过http 和https），cookie 仍会传输。

Cookie.Secure 告诉浏览器仅在通道安全的情况下发送 cookie。即https only。

所以前一个设置描述了可以访问 cookie 的内容。后者配置其传输安全要求。