MVC中ASPXAUTH Cookie的安全标志

Question

我们有一个用ASP.NET MVC3开发的应用程序。渗透-由IBM AppScan工具完成的测试。

据报道，ASPXAUTH是不安全的。当我检查浏览器的开发工具时，有一些带有安全标志的cookie。但ASPXAUTH不是其中之一。

​

​

我已经在Web.Config文件中包含了下面的代码行。

<httpCookies requireSSL="true"/>

注意:我们不使用表单身份验证登录。我们使用的是登录机制。

将ASPXAUTH标记为安全的正确方法是什么？

Answer 1

在Global.asax.cs文件中添加下面的代码。

protected void Application_EndRequest(object sender, EventArgs e)
        {

                if (Response.Cookies.Count > 0)
                {
                    foreach (string s in Response.Cookies.AllKeys)
                    {
                        Response.Cookies[s].Secure = true;
                    }
                }
            }
        }

Answer 2

这并不适用于我，不是使用表单身份验证，而是使用集中式登录。添加了以下代码：

foreach (string sCookie in httpCookies.AllKeys)
{
    if (sCookie == FormsAuthentication.FormsCookieName || sCookie.ToLower() == "asp.net_sessionid")
    {
        httpCookies[sCookie].Secure = true;
    }                    
}