IIS中COOKIE的安全設置
本文介紹 IIS（Internet Information Services）中兩個關鍵的 Cookie 安全設定：httpOnlyCookies 和 requireSSL，說明各自的作用與 web.config 寫法。 問題背景最近，專案在進行弱點掃描時發現了一個與 ASP.NET_SessionId 有關的弱點。掃描結果顯示，這個重要的 Session ID 缺少必要的安全 Flag。因此，我決定仔細研究 IIS 中 Cookie 的安全設定，特別是 httpOnlyCookies 和 requireSSL 這兩個選項。 httpOnlyCookies什麼是 httpOnlyCookies?httpOnlyCookies 是一個安全特性，用於防止客戶端腳本存取受保護的 cookie。當啟用此選項時，cookie 只能透過 HTTP(S) 協議傳輸，而不能被客戶端腳本（如 JavaScript）存取。 為什麼重要?啟用 httpOnlyCookies 可以顯著降低跨站腳本（XSS）攻擊的風險。攻擊者即使成功注入惡意腳本，也無法直接讀取或操作受保護的 cookie，從而保護了敏感...
