经典 ASP 在 cookie 上使用“SameSite”[重复]

Question

我们使用 Classic ASP 通过 Response.Cookies( "CookieName" ) 构建我们的 cookie。我们如何将“SameSite”设置为无？

Answer 1

试试这个（你需要安装 URLRewrite 模块）。您还需要使用 https 协议（SameSite 仅在还包含 Secure 时才有效，并且您不能在不使用 https 协议的情况下包含 Secure）。 HttpOnly 也应始终使用，但如果您的网站上有一些 JavaScript 代码需要读取 cookie，HttpOnly 会阻止这种情况。

您可能还需要在 IIS 的 URLRewrite 下的“允许的服务器变量”中添加“HTTP_COOKIE”。但我认为这只是为了读取传入的 cookie。

编辑：经过试验和测试，完美运行。

注意：如果您已经在使用Response.Cookies("CookieName").Secure = True，它会将Secure 添加到响应标头值两次（除非您从操作重写值中删除Secure），被包含两次应该不是问题，但有些浏览器可能对这样的东西很挑剔，尤其是 Chrome，因为谷歌继续通过更严格的 cookie 规则推出越来越多的更新。

httpProtocol > customHeaders 部分是完全可选的，但它会为您的网站增加更多安全性。

web.config

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
        <outboundRules>
            <rule name="SameSite rewrite">
                <match serverVariable="RESPONSE_Set_Cookie" pattern="(.*)=(.*)" negate="false" />
                <action type="Rewrite" value="{R:1}={R:2}; SameSite=None; HttpOnly; Secure" />
            </rule>     
        </outboundRules>
    </rewrite>
    <httpProtocol>
      <customHeaders>
        <add name="X-Frame-Options" value="SAMEORIGIN" />
        <add name="X-Content-Type-Options" value="nosniff" />
        <add name="X-XSS-Protection" value="1; mode=block" />
        <add name="Referrer-Policy" value="strict-origin" />
        <add name="Strict-Transport-Security" value="max-age=31536000" />
      </customHeaders>
    </httpProtocol>
  </system.webServer>
</configuration>