Asp.net 防止具有相同站点 cookie 属性的 CSRF

发布于08月15日

我在网上冲浪，发现了第Preventing CSRF with the same-site cookie attribute条.

作为链接维护，我们需要添加设置Cookie头.

Set-Cookie:Key=Value；HttpOnly；SameSite=Strict

现在我的问题是，我想在我的ASP.NET站点的"所有Cookie"和"身份验证Cookie"中设置它. 我试图使用来自IIS的头来设置它，但是有人说这是错误的实现方式.

我也试过下面的方法.

HttpCookie newAuthenticationCookie = new HttpCookie(FormsAuthentication.FormsCookieName
                    , FormsAuthentication.Encrypt(newAuthenticationTicket))
                {
                    HttpOnly = true
                };
newAuthenticationCookie.Values.Add("SameSite", "strict");

但这似乎帮不了我.

请给我一个更好的方法.

谢谢

推荐答案

在深入查看HttpCookie Source之后，确认我们不能对代码执行此操作，因为没有办法在Cookie上添加额外的属性，并且类被标记为密封的.

但不管怎样，我还是通过修改web.config来管理解决方案，如下所示.

<rewrite>
  <outboundRules>
    <rule name="Add SameSite" preCondition="No SameSite">
      <match serverVariable="RESPONSE_Set_Cookie" pattern=".*" negate="false" />
      <action type="Rewrite" value="{R:0}; SameSite=strict" />
      <conditions>
      </conditions>
    </rule>
    <preConditions>
      <preCondition name="No SameSite">
        <add input="{RESPONSE_Set_Cookie}" pattern="." />
        <add input="{RESPONSE_Set_Cookie}" pattern="; SameSite=strict" negate="true" />
      </preCondition>
    </preConditions>
  </outboundRules>
</rewrite>

这将在每个Set-Cookie上加上SameSite=strict.