通過 HTTPS 在 ASP.NET 中保護會話 cookie

讀完這個/後有點好奇。關於劫持 HTTPS cookie 的文章。我稍微追踪了一下，我偶然發現的一個很好的資源列出了一些在這裡保護 cookie 的方法。我必須使用 adsutil，還是在 web.config 的 httpCookies 部分中設置 requireSSL 會覆蓋所有其他會話 cookie（在此處介紹）？還有什麼我應該考慮進一步加強會議的嗎？

https://www.isecpartners.com/media/12009/web-session-management.pdf

一份 19 頁的白皮書“使用 Cookie 進行 Web 應用程序的安全會話管理”

它們涵蓋了許多我以前從未在一個地方看到過的安全問題。值得一讀。

用於控制它的 web.config 設置位於 System.Web 元素內部，如下所示：

<httpCookies httpOnlyCookies="true" requireSSL="true" />

引用自：https://stackoverflow.com/questions/54096