如何保护.ASPXAUTH令牌

Question

如何保护.ASPXAUTH令牌以便通过SSL发送。

Answer 1

直接从msdn docs：

为了防止窗体身份验证cookie的捕获和篡改，同时穿越网络 ，确保您使用SSL与 需要经过身份验证访问的所有页面和限制形式 身份验证票证通过设置requireSSL="true", <forms>元素来设置SSL通道。

要限制窗体身份验证cookie来SSL通道设置requireSSL="true"的<forms>元素，如下面的代码：

<forms loginUrl="Secure\Login.aspx" requireSSL="true" ... />

通过设置requireSSL="true"，设置，确定浏览器是否应该将安全cookie属性将cookie发送回 服务器。通过设置安全属性，cookie仅由 浏览器发送到使用HTTPS URL请求的安全页面。

注：，使用requireSSL="true"时，将已授权cookie将仅适用于通过SSL请求的页面发送。因此，如果您通过HTTP（非SSL）点击某个页面，则可能看起来您没有登录。本文将讨论该问题并提出解决方案，因为它与SharePoint网站相关（但该理论可转让）： Securing the authentication cookie for mixed SSL SharePoint sites