SessionAuthenticationModule Cookie Handler không tạo HttpOnly an toàn cookie

Question

Tôi đang sử dụng System.IdentityModel để xác thực người dùng trong ứng dụng web ASP.NET MVC4 bằng cách sử dụng biểu mẫu auth với một tuyên bố chủ yếu. (mã dựa trên bài viết này: http://brockallen.com/2013/01/26/replacing-forms-authentication-with-wifs-session-authentication-module-sam-to-enable-claims-aware-identity/)

Xác nhận quyền sở hữu của tôiBasedAuthentication Lớp dịch vụ phát hành cookie SAM từ SessionSecurityToken, và tất cả đều ... ngoại trừ việc tôi vừa mới nhận thấy rằng nó không tạo cookie phiên làm HTTPOnly hoặc yêu cầu họ yêu cầu SSL. Khi tôi gỡ lỗi mã, tôi có thể thấy các thuộc tính đó trên đối tượng CookieHandler được đặt chính xác trong trình gỡ rối, nhưng cookie phiên cuối cùng được tạo ra đơn giản không có cờ HTTPOnly và Secure được đánh dấu.

tôi có các dòng web.config để thiết lập các true một cách rõ ràng như vậy:

<system.web> 
    <httpCookies httpOnlyCookies="true" requireSSL="true" /> 
    <authentication mode="Forms"> 
    <forms ... requireSSL="true" /> 
    </authentication> 
... 
</system.web> 
<system.identityModel.services> 
    <federationConfiguration> 
    <cookieHandler requireSsl="true" hideFromScript="true" /> 
    </federationConfiguration> 
</system.identityModel.services> 

Ai đó có thể cho tôi biết nếu có cái gì khác tôi đang thiếu để cho cookie FedAuth tôi để được ẩn từ kịch bản (HTTPOnly) và yêu cầu SSL?

Answer 1

Tôi đang sử dụng cùng một triển khai và không thấy vấn đề của bạn khi sử dụng Fiddler2. Tuy nhiên, vấn đề có thể liên quan đến công cụ gỡ lỗi của bạn? Trong các công cụ gỡ lỗi IE10, cờ an toàn và http chỉ được hiển thị khi cookie được nhận lần đầu tiên. Nếu bạn kiểm tra bằng cách sử dụng công cụ gỡ lỗi Chrome, bạn sẽ thấy các cờ được hiển thị chính xác trên tất cả các yêu cầu.

Answer 2

Bạn có làm việc này không? Tôi đã sử dụng về cơ bản cùng một mã và tất cả đều ổn.

tôi không thể thấy rằng những gợi ý sau đây có bất cứ điều gì để làm với bất cứ điều gì, nhưng những điều duy nhất tôi có thể gợi ý, là để thiết lập cookie đời

<cookieHandler hideFromScript="true" requireSsl="true" persistentSessionLifetime="30" /> 

<forms loginUrl="/Whereever" timeout="30" requireSSL="true" /> 

và

<system.webServer> 
    <modules> 
    <add name="SessionAuthenticationModule" type="System.IdentityModel.Services.SessionAuthenticationModule, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089" preCondition="managedHandler" /> 
    </modules> 
</system.webServer>