经典 ASP 的 ASPSESSIONID 缺少 HTTPONLY 属性答案

【问题标题】：ASPSESSIONID missing HTTPONLY attribute for classic ASP经典 ASP 的 ASPSESSIONID 缺少 HTTPONLY 属性
【发布时间】：2012-12-14 06:48:10
【问题描述】：

我正在尝试找到一种方法来在为经典 ASP 站点自动生成的 ASPSESSIONID cookie 上启用 HTTPONLY。我知道 .NET 2.0+ 站点的 ASP 会话 cookie 默认为 HTTPONLY，但我需要为经典 ASP 配置它。我曾尝试使用 HTTPONLY.dll 过滤器，但该 ISAPI 过滤器仅适用于手动创建的 cookie。

此时使用 F5 不是一个选项。请让我知道是否有一种方法可以在不升级到 IIS7 且仅使用 IIS6 的情况下执行此操作。谢谢。

【问题讨论】：

这真的应该在 serverfault.com 上。

标签： asp-classic iis-6 pci-compliance httponly

【解决方案1】：

如果您在 IIS 6 上运行经典 ASP 应用程序，我认为没有办法做到这一点。如果您在 IIS 7/7.5 上运行经典 ASP 网页，那么您可以使用 IIS URL 重写模块编写规则以使您的 cookie 仅使用 HTTP。详情见这里：http://forums.iis.net/t/1168473.aspx/1/10

【讨论】：