Udostępnij za pośrednictwem

HttpCookie.HttpOnly Właściwość

  • Odwołanie

Definicja

Przestrzeń nazw:
System.Web
Zestaw:
System.Web.dll

Pobiera lub ustawia wartość określającą, czy plik cookie jest dostępny dla skryptu po stronie klienta.

public:
 property bool HttpOnly { bool get(); void set(bool value); };
public bool HttpOnly { get; set; }
member this.HttpOnly : bool with get, set
Public Property HttpOnly As Boolean

Wartość właściwości

Boolean

true jeśli plik cookie ma HttpOnly atrybut i nie można uzyskać dostępu za pośrednictwem skryptu po stronie klienta; w przeciwnym razie false. Wartość domyślna to false.

Przykłady

W poniższym przykładzie kodu pokazano, jak napisać HttpOnly plik cookie i pokazać, jak nie jest on dostępny dla klienta za pośrednictwem kodu ECMAScript.

<%@ Page Language="C#" %>


<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
    "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<script runat="server">
    void Page_Load(object sender, EventArgs e)
    {
        // Create a new HttpCookie.
        HttpCookie myHttpCookie = new HttpCookie("LastVisit", DateTime.Now.ToString());

        // By default, the HttpOnly property is set to false 
        // unless specified otherwise in configuration.

        myHttpCookie.Name = "MyHttpCookie";
        Response.AppendCookie(myHttpCookie);

        // Show the name of the cookie.
        Response.Write(myHttpCookie.Name);

        // Create an HttpOnly cookie.
        HttpCookie myHttpOnlyCookie = new HttpCookie("LastVisit", DateTime.Now.ToString());

        // Setting the HttpOnly value to true, makes
        // this cookie accessible only to ASP.NET.

        myHttpOnlyCookie.HttpOnly = true;
        myHttpOnlyCookie.Name = "MyHttpOnlyCookie";
        Response.AppendCookie(myHttpOnlyCookie);

        // Show the name of the HttpOnly cookie.
        Response.Write(myHttpOnlyCookie.Name);
    }
</script>


<html xmlns="http://www.w3.org/1999/xhtml" >
<head runat="server">
    <title>ASP.NET Example</title>
</head>
<body>
<script type="text/javascript">
function getCookie(NameOfCookie)
{
    if (document.cookie.length > 0) 
{ 
    begin = document.cookie.indexOf(NameOfCookie+"="); 
    if (begin != -1)
   { 
    begin += NameOfCookie.length+1; 
      end = document.cookie.indexOf(";", begin);
      if (end == -1) end = document.cookie.length;
      return unescape(document.cookie.substring(begin, end));       
      } 
  }
return null;  
}
</script>

<script type="text/javascript">

    // This code returns the cookie name.
    alert("Getting HTTP Cookie");
    alert(getCookie("MyHttpCookie"));

    // Because the cookie is set to HttpOnly,
    // this returns null.
    alert("Getting HTTP Only Cookie");
    alert(getCookie("MyHttpOnlyCookie"));

</script> 


</body>
</html>

<%@ Page Language="VB" %>

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
    "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<script runat="server">

  Protected Sub Page_Load(ByVal sender As Object, ByVal e As System.EventArgs)
    
    ' Create a new HttpCookie.
    Dim myHttpCookie As New HttpCookie("LastVisit", DateTime.Now.ToString())

    ' By default, the HttpOnly property is set to false 
    ' unless specified otherwise in configuration.

    myHttpCookie.Name = "MyHttpCookie"
    Response.AppendCookie(myHttpCookie)

    ' Show the name of the cookie.
    Response.Write(myHttpCookie.Name)

    ' Create an HttpOnly cookie.
    Dim myHttpOnlyCookie As New HttpCookie("LastVisit", DateTime.Now.ToString())

    ' Setting the HttpOnly value to true, makes
    ' this cookie accessible only to ASP.NET.

    myHttpOnlyCookie.HttpOnly = True
    myHttpOnlyCookie.Name = "MyHttpOnlyCookie"
    Response.AppendCookie(myHttpOnlyCookie)

    ' Show the name of the HttpOnly cookie.
    Response.Write(myHttpOnlyCookie.Name)

  End Sub
  
</script>

<html xmlns="http://www.w3.org/1999/xhtml" >
<head runat="server">
    <title>ASP.NET Example</title>
</head>
<body>
<script type="text/javascript">
function getCookie(NameOfCookie)
{
  if (document.cookie.length > 0) 
  { 
    begin = document.cookie.indexOf(NameOfCookie+"="); 
    if (begin != -1)
    { 
    begin += NameOfCookie.length+1; 
      end = document.cookie.indexOf(";", begin);
      if (end == -1) end = document.cookie.length;
      return unescape(document.cookie.substring(begin, end));       
    } 
  }
  return null;  
}
</script>

<script type="text/javascript">

// This code returns the cookie name.
alert("Getting HTTP Cookie");
alert(getCookie("MyHttpCookie"));

// Because the cookie is set to HttpOnly,
// this returns null.
alert("Getting HTTP Only Cookie");
alert(getCookie("MyHttpOnlyCookie"));

</script> 

</body>
</html>

Uwagi

Microsoft program Internet Explorer w wersji 6 dodatku Service Pack 1 lub nowszej obsługuje właściwość pliku cookie, HttpOnlyktóra może pomóc w ograniczeniu zagrożeń skryptów obejmujących wiele witryn, które powodują kradzież plików cookie. Skradzione pliki cookie mogą zawierać poufne informacje identyfikujące użytkownika w witrynie, takie jak identyfikator sesji ASP.NET lub bilet uwierzytelniania formularzy, i mogą być odtwarzane przez osobę atakującą w celu zamaskowania jako użytkownika lub uzyskania poufnych informacji. HttpOnly Gdy plik cookie jest odbierany przez zgodną przeglądarkę, jest niedostępny dla skryptu po stronie klienta.

Przestroga

HttpOnly Ustawienie właściwości true na wartość nie uniemożliwia osobie atakującej bezpośredniego uzyskiwania dostępu do pliku cookie przez osobę atakującą. Rozważ użycie protokołu Secure Sockets Layer (SSL), aby chronić się przed tym rozwiązaniem. Zabezpieczenia stacji roboczej są również ważne, ponieważ złośliwy użytkownik może użyć otwartego okna przeglądarki lub komputera zawierającego trwałe pliki cookie w celu uzyskania dostępu do witryny sieci Web z tożsamością legalnego użytkownika.

Dotyczy