httpCookies requireSSL 在 http 上设置为 true 不会导致任何错误

Question

我已在 web.config 中将 httpCookies requireSSL 值设置为 true，并在我的本地计算机上运行 Web 应用程序，而无需运行 https。除了我尝试阅读 Request.Cookie 之外，一切都运行良好。

它不在那里。我假设因为我没有启用 SSL，所以它从未创建它，但没有警告它失败。我只知道何时尝试读取 cookie 值。

它不应该警告你吗？

Answer 1

没有。该设置的作用是在设置 cookie 时发送 'Secure' 参数。在收到带有该参数的 cookie 后，客户端应仅在使用的连接安全时将其发送回服务器。

这就是为什么客户端没有发回 cookie 而您也看不到它的原因。此外，服务器不应通过不安全的连接发送设置此类 cookie。

请参阅RFC-2109，第 4.2.2 节，了解如何使用和解释“安全”属性。