cookie an toàn asp.net

Question

Tôi muốn bảo mật cookie của mình, tôi đọc về các cờ cookie "HTTPOnly" và "Secure" cho cookie ASP.NET_SessionId. Tôi tạo dự án asp.net mới trong VS. Và trong cáy trong Thanh tra -> liệu tôi có:

Cookie: DXCurrentThemeMVC=Office2010Black; ASP.NET_SessionId=1gq0t1mi234xyljqnxrzbqfx 

Sau đó tôi thay đổi web.config:

<system.web> 
    <compilation debug="true" targetFramework="4.0" /> 

    <httpCookies httpOnlyCookies="true" requireSSL="true"/> 

    <authentication mode="Forms"> 
     <forms loginUrl="~/Account/Login.aspx" timeout="2880" requireSSL="true" /> 
    </authentication> 

Nhưng trong cáy cùng một dữ liệu

Cookie: DXCurrentThemeMVC=Office2010Black; ASP.NET_SessionId=1gq0t1mi234xyljqnxrzbqfx 

Tôi nghĩ khi tôi thêm <httpCookies httpOnlyCookies="true" requireSSL="true"/> tôi không thể thấy cookie trong trình duyệt hoặc cookie sẽ được mã hóa. Đây có phải là kết quả chính xác không? Hoặc tôi có sai lầm ở đâu đó?

EDIT

và lý do tại sao tôi không nhìn thấy trong cáy

Set-Cookie: ASP.NET_SessionId=ig2fac55; path=/; secure; HttpOnly 

nhưng chỉ Cookie mà không set-, và an toàn, và HttpOnly cũng trong firebug tôi thấy kết quả tương tự

EDIT2 Dường như tôi tìm thấy sự cố của mình: tôi lưu trữ ứng dụng trên iis và tìm kiếm cookie trong cookie, và tôi có cookie với cờ an toàn và httpOnly s:

ASP.NET_SessionId=98sfd90sdf89sd0f80s8; path=/; secure; HttpOnly 

Answer 1

Hãy xem phiên httpCookies Element trong MSDN.

httpOnlyCookies đặt cờ HttpOnly trong tiêu đề phản hồi. Xem Protecting Your Cookies: HttpOnly bài viết.

yêu cầuSSL buộc cookie phải được chuyển qua kênh bảo mật, vì vậy nó không bị xóa và được mã hóa trong khi truyền tải.