asp.net安全cookie

Question

我想保护我的cookie,我读了ASP.NET_SessionId cookie的"HTTPOnly"和"Secure"cookie标志.我在VS中创建了新的asp.net项目.在检查员的小提琴手 - >原始我有:

Cookie: DXCurrentThemeMVC=Office2010Black; ASP.NET_SessionId=1gq0t1mi234xyljqnxrzbqfx

然后我修改web.config:

<system.web>
    <compilation debug="true" targetFramework="4.0" />

    <httpCookies httpOnlyCookies="true" requireSSL="true"/>

    <authentication mode="Forms">
      <forms loginUrl="~/Account/Login.aspx" timeout="2880" requireSSL="true" />
    </authentication>

但在提琴手中的数据相同

 Cookie: DXCurrentThemeMVC=Office2010Black; ASP.NET_SessionId=1gq0t1mi234xyljqnxrzbqfx

我想当我添加 <httpCookies httpOnlyCookies="true" requireSSL="true"/> 我不能看到小提琴中的cookie,或cookie将被加密.这是正确的结果吗？或者我在某处有错误？

编辑

为什么我不会在小提琴手中看到

Set-Cookie: ASP.NET_SessionId=ig2fac55; path=/; secure; HttpOnly

但只有没有set-,安全和HttpOnly的cookie也在firebug中我看到相同的结果

EDIT2 似乎我发现了我的问题:我在iis和firebug上主持应用程序寻找cookie,我有安全和httpOnly标志的cookie:

ASP.NET_SessionId=98sfd90sdf89sd0f80s8; path=/; secure; HttpOnly

Answer 1

看一下MSDN 中的httpCookies Element会话.

httpOnlyCookies在响应头中设置HttpOnly标志.请参阅保护您的Cookie:HttpOnly文章.

requireSSL强制cookie通过安全通道传输,因此它不会被删除并在传输过程中被加密.