c# - ASP.NET 中的安全 Cookie

Question

我对 ASP.Net 还比较陌生，并且开始使用 cookie。我对他们有一些了解，并且对他们有一些疑问。

这是关于保护 cookie 的。我将 httpOnlyCookies 设置为 true，如下所示。

<httpCookies httpOnlyCookies="true"/>

我注意到有一个 Cookie.Secure 属性，我将其启用为 true。我对这两者进行了研究，但无法理解两者之间的差异。有人可以对此提供一些指导吗？如果我将两者都设置为 true 会发生什么？除了使用 SSL 之外，我还能采取什么措施来保护 cookie 的安全？

非常感谢!

Answer 1

httpOnlyCookies=true 是一个站点范围的 Web 配置设置，可防止客户端脚本访问 cookie。无论 channel 有多安全，即通过 http 和 https，cookie 仍然会传输。

Cookie.Secure 告诉浏览器仅在 channel 安全的情况下发送 cookie。即仅限 https。

所以前面的设置描述了什么可以访问cookie。后者配置其传输安全要求。