CA5396: HttpOnly für HttpCookie auf TRUE festlegen

Eigenschaft	Wert
Regel-ID	CA5396
Titel	HttpOnly für HttpCookie auf TRUE festlegen
Kategorie	Security
Fix führt oder führt nicht zur Unterbrechung	Nicht unterbrechend
Standardmäßig in .NET 9 aktiviert	No

Ursache

System.Web.HttpCookie.HttpOnly ist auf false festgelegt. Der Standardwert dieser Eigenschaft ist false.

Regelbeschreibung

Stellen Sie im Rahmen eines mehrschichtigen Schutzes sicher, dass sicherheitsrelevante HTTP-Cookies als „HttpOnly“ gekennzeichnet werden. Damit werden Webbrowser angewiesen, den Zugriff auf die Cookies durch Skripts nicht zuzulassen. Die Einschleusung von schädlichen Skripts ist eine gängige Methode, Cookies zu stehlen.

Behandeln von Verstößen

Legen Sie System.Web.HttpCookie.HttpOnly auf true fest.

Wann sollten Warnungen unterdrückt werden?

• Wenn der globale Wert von HttpOnly festgelegt wird, wie z. B. im folgenden Beispiel:

  <system.web>
      ...
      <httpCookies httpOnlyCookies="true" requireSSL="true" />
  </system.web>
  

• Wenn Sie sicher sind, dass keine vertraulichen Daten in den Cookies vorhanden sind.

Unterdrücken einer Warnung

Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.

#pragma warning disable CA5396
// The code that's violating the rule is on this line.
#pragma warning restore CA5396

Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad in der Konfigurationsdatei auf none fest.

[*.{cs,vb}]
dotnet_diagnostic.CA5396.severity = none

Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.

Beispiel

Verstoß:

using System.Web;

class ExampleClass
{
    public void ExampleMethod()
    {
        HttpCookie httpCookie = new HttpCookie("cookieName");
        httpCookie.HttpOnly = false;
    }
}

Lösung:

using System.Web;

class ExampleClass
{
    public void ExampleMethod()
    {
        HttpCookie httpCookie = new HttpCookie("cookieName");
        httpCookie.HttpOnly = true;
    }
}