如何保護.ASPXAUTH令牌

Question

如何保護.ASPXAUTH令牌以便通過SSL發送。

Answer 1

直接從msdn docs：

爲了防止窗體身份驗證cookie的捕獲和篡改，同時穿越網絡 ，確保您使用SSL與 需要經過身份驗證訪問的所有頁面和限制形式 身份驗證票證通過設置requireSSL="true", <forms>元素來設置SSL通道。

要限制窗體身份驗證cookie來SSL通道設置requireSSL="true"的<forms>元素，如下面的代碼：

<forms loginUrl="Secure\Login.aspx" requireSSL="true" ... />

通過設置requireSSL="true"，設置，確定瀏覽器是否應該將安全cookie屬性將cookie發送回 服務器。通過設置安全屬性，cookie僅由 瀏覽器發送到使用HTTPS URL請求的安全頁面。

注：，使用requireSSL="true"時，將已授權cookie將僅適用於通過SSL請求的頁面發送。因此，如果您通過HTTP（非SSL）點擊某個頁面，則可能看起來您沒有登錄。本文將討論該問題並提出解決方案，因爲它與SharePoint網站相關（但該理論可轉讓）： Securing the authentication cookie for mixed SSL SharePoint sites