如何保护.ASPXAUTH令牌

Question

如何保护.ASPXAUTH令牌以便通过SSL发送.

Answer 1

直接来自msdn docs:

为了防止窗体身份验证cookie的拍摄,并与在穿越网络篡改,保证您使用SSL与需要身份验证的访问,并通过设置限制窗体身份验证票SSL通道的所有网页requireSSL="true"上的<forms>元素.

要将表单身份验证cookie限制为requireSSL="true"在该<forms>元素上设置的SSL通道,如以下代码所示:

<forms loginUrl="Secure\Login.aspx" requireSSL="true" ... />

通过设置requireSSL="true",您可以设置安全cookie属性,以确定浏览器是否应将cookie发送回服务器.使用安全属性集,浏览器仅将cookie发送到使用HTTPS URL请求的安全页面.

注意:使用时requireSSL="true",仅为通过SSL请求的页面发送auth cookie.因此,如果您通过HTTP(非SSL)访问页面,则可能看起来您尚未登录.本文讨论了该问题,并提出了一个与SharePoint站点相关的解决方案(但该理论可以转让):保护混合SSL SharePoint站点的身份验证cookie