세션이 값을 보유하지 않고 항상 null을 반환합니다.

Question

웹 사이트가 완전히 HTTPS를 사용합니다. 누군가가 HTTP를 통해 액세스하려고해도 HTTPS로 리디렉션됩니다. 양식 인증을 사용하고 있습니다. 최근에 사이트를보다 안전하게 만들기 위해 설정을 변경 한 후 세션에 값이 저장되지 않고 항상 null이 반환됩니다. 설정은 다음과 같습니다.

<httpCookies httpOnlyCookies="true" requireSSL="true"/> 
<sessionState cookieless="false"/> 

이 문제를 해결하는 방법에 대해서는 잘 모릅니다. 이 문제를 어떻게 해결합니까? 또한이 설정을 사용하지 않으면 내 사이트가 취약 해 집니까? 그 밖의 모든 것이 안전하다고 생각하십시오.

Answer 1

질문이 너무 많아서 단서가 너무 많아서 몇 가지 사항을 알려 드릴 수 있습니다.

[1]도를 설정 www. 밖으로 쿠키에 domain, 그래서 쿠키 읽고 실수로 WWW가없는 경우에도 설정할 수 있습니다.

<httpCookies domain="yourdomain.com" httpOnlyCookies="true" requireSSL="true"/> 

[2] 당신은 또한 설정할 필요가 유사한 매개 변수 (이제까지 다른 사용자가 설정 한 것)

<forms name=".klidi" path="/" requireSSL="true" cookieless="UseCookies" 
    domain="yourdomain.com" enableCrossAppRedirects="false" 
     slidingExpiration="true" /> 

[3] 당신은 또한 설정 <roleManager 필요로 <forms... 유사한 매개 변수와 함께.

<roleManager enabled="true" cacheRolesInCookie="false" cookieProtection="All" cookieSlidingExpiration="true" 
      cookieTimeout="20" domain="yourdomain.com" cookieRequireSSL="true"> 

및 설정하거나 실수로 사용자가 보안 연결 https을 사용하지 않은 있는지 확인하기 위해 모든 쿠키를 사용하기 전에 가장 중요한 설정을 코드에 줄을 지속됩니다. 사이트 문제가 아닌 보안 연결에서 오는 경우에 당신이 순간부터 당신이 true로 requireSSL를 설정하기 때문에,보고 진단 할 수 있습니다을 컴퓨터에, 마지막 줄을 설정하여

Debug.Assert(HttpContext.Current.Request.IsSecureConnection, "With out https, cookie will not work"); 

, 어떤 간단한 연결 어떤 쿠키도 보유하지 않을 것입니다.

쿠키가 비보안으로 존재하고 충돌이있는 경우 쿠키를 지우고 다른 브라우저를 사용해보십시오.

당신은 또한 읽을 수 있습니다 Can some hacker steal the cookie from a user and login with that name on a web site?