DNN cookie 并非在所有门户上都是安全的

Question

我在 DNN 8.00.04 有一个网站。 在这个网站中我有 5 个门户。

在主门户中，我的所有 cookie 都是安全的且仅限 http。 但在其他 4 个门户网站上则不然。

我查看了 DNN 社区，但没有发现任何相关内容。 我如何确保它们都是安全的？

• “tankpas_cookie_accept”是我在代码中创建的 cookie，并设置为 secure 和 httpOnly。
• 对于 ASP.NET_SessionId 我使用了以下文章来刷新 id： 在当前 HTTPContext 中生成新的 ASP.NET 会话

但其他 cookie 是 DNN cookie，我不知道如何设置它们的安全。

我已经尝试启用门户 ssl 通过：主机-站点管理-（门户）-高级设置-SSL设置

启用 SSL：选中
SSL 强制执行：选中

--编辑--
更改 webconfig 从

<httpCookies httpOnlyCookies="true" requireSSL="false" domain="" />

到

<httpCookies httpOnlyCookies="true" requireSSL="true" domain="" />

更改此设置会使管理门户不可用。

-- 编辑2-- 添加以下内容会在尝试打开网站时出现 505 错误。

<rewrite>
   <outboundRules>
      <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
         <match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
         <conditions>
            <add input="{HTTPS}" pattern="on" ignoreCase="true" />
         </conditions>
         <action type="Rewrite" value="max-age=31536000; includeSubDomains; preload" />
      </rule>
   </outboundRules>
</rewrite>

cookies主门户

cookies第二传送门

谢谢

Answer 1

不确定这是否正是您所需要的，但您可以在 Web.Config 中启用 严格传输安全。

<system.webServer>
    <rewrite>
      <outboundRules>
        <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
          <match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
          <conditions>
            <add input="{HTTPS}" pattern="on" ignoreCase="true" />
          </conditions>
          <action type="Rewrite" value="max-age=31536000; includeSubDomains; preload" />
        </rule>
      </outboundRules>
    </rewrite>
</system.webServer>  

并启用安全cookies

<system.web>
  <httpCookies httpOnlyCookies="true" requireSSL="true" lockItem="true" />
</system.web>