Jak ustawić bezpieczną flagę na pliku cookie sesji ASP.NET?

Question

Jak ustawić bezpieczną flagę na pliku ASP.NET Session Cookie, aby była przesyłana tylko przez HTTPS i nigdy przez zwykły HTTP?

Answer 1

Istnieją dwa sposoby, jeden httpCookies elementem web.config pozwala włączyć requireSSL który tylko przekazuje wszystkie ciasteczka w tym sesji SSL tylko i również wewnątrz uwierzytelnianie formularzy, ale jeśli włączyć SSL na httpcookies należy również włączyć również w konfiguracji formularzy.

Edycja dla jasności: umieścić to w <system.web>

<httpCookies requireSSL="true" /> 

Answer 2

W elemencie <system.web> dodaj następujący element:

<httpCookies requireSSL="true" /> 

Jednakże, jeśli masz <forms> element Twój blok system.web\authentication, to zastąpi ustawienie w httpCookies, przywracając domyślną wartość false. W takim przypadku należy dodać atrybut requireSSL="true" również do elementu formularzy.

więc skończy się z:

<system.web> 
    <authentication mode="Forms"> 
     <forms requireSSL="true"> 
      <!-- forms content --> 
     </forms> 
    </authentication> 
</system.web> 

Zobacz here i here dokumentacji MSDN tych elementów.

Answer 3

Rzeczy stają się niechlujne szybko, jeśli mówimy o kodzie odprawionym w środowisku przedsiębiorstwa. Odkryliśmy, że najlepszym rozwiązaniem jest mieć web.Release.config zawierać następujące elementy:

<system.web> 
    <compilation xdt:Transform="RemoveAttributes(debug)" /> 
    <authentication> 
     <forms xdt:Transform="Replace" timeout="20" requireSSL="true" /> 
    </authentication> 
</system.web> 

ten sposób, twórcy nie mają wpływu (uruchomiony w Debug), a tylko serwery, które się buduje Release wymagają plików cookie jako SSL.