ASP.Net MVC5设置安全和HTTPOnly标志

Question

我需要将httponly和secure标记设置为我网站的所有Cookie，以通过我的客户的安全扫描。 我认为web.config配置正确

<system.web>
   <httpCookies httpOnlyCookies="true" requireSSL="true" lockItem="true" />

它适用于我在我的应用程序中创建的所有cookie，但不适用于google analitycs（我知道我对此无能为力）以及我认为是asp.net的会话cookie（{{1 }和ai_user）。

搜索这两个cookie导致什么都没有。 如何强制ai_session和httponly标志？

我不知道它是否相关，但我也有这个重写规则

secure

我试图禁用它，但没有改变

Answer 1

我偶然发现了＆＃34; ai_session＆＃34;和＆＃34; ai_user＆＃34;饼干现在与我的项目，我认为他们来自应用程序见解。如果您进一步调查，请向社区报告。

Answer 2

要求SSL的正确方法是通过全局过滤器

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
     filters.Add(new HandleErrorAttribute());
     filters.Add(new System.Web.Mvc.AuthorizeAttribute());
     filters.Add(new System.Web.Mvc.RequireHttpsAttribute());
}