CA5396: Ustaw wartość HttpOnly na wartość true dla elementu HttpCookie

  • Artykuł
Właściwości Wartość
Identyfikator reguły CA5396
Stanowisko Ustaw element HttpOnly na wartość true dla elementu HttpCookie
Kategoria Bezpieczeństwo
Poprawka powodująca niezgodność lub niezgodność Niezgodność
Domyślnie włączone na platformie .NET 8 Nie.

Przyczyna

System.Web.HttpCookie.HttpOnly jest ustawiona na falsewartość . Wartość domyślna tej właściwości to false.

Opis reguły

W ramach ochrony w głębi systemu upewnij się, że poufne pliki cookie HTTP są oznaczone jako HttpOnly. Oznacza to, że przeglądarki internetowe nie powinny zezwalać skryptom na dostęp do plików cookie. Wstrzyknięte złośliwe skrypty są typowym sposobem kradzieży plików cookie.

Jak naprawić naruszenia

Ustaw wartość opcji System.Web.HttpCookie.HttpOnly na true.

Kiedy pomijać ostrzeżenia

  • Jeśli ustawiono wartość HttpOnly globalną elementu , na przykład w poniższym przykładzie:

    <system.web>
    ...
    <httpCookies httpOnlyCookies="true" requireSSL="true" />
</system.web>

  • Jeśli masz pewność, że w plikach cookie nie ma żadnych poufnych danych.

Pomijanie ostrzeżenia

Jeśli chcesz po prostu pominąć pojedyncze naruszenie, dodaj dyrektywy preprocesora do pliku źródłowego, aby wyłączyć, a następnie ponownie włączyć regułę.

#pragma warning disable CA5396
// The code that's violating the rule is on this line.
#pragma warning restore CA5396

Aby wyłączyć regułę dla pliku, folderu lub projektu, ustaw jego ważność na none w pliku konfiguracji.

[*.{cs,vb}]
dotnet_diagnostic.CA5396.severity = none

Aby uzyskać więcej informacji, zobacz Jak pominąć ostrzeżenia dotyczące analizy kodu.

Przykład

Naruszenie:

using System.Web;

class ExampleClass
{
    public void ExampleMethod()
    {
        HttpCookie httpCookie = new HttpCookie("cookieName");
        httpCookie.HttpOnly = false;
    }
}

Rozwiązanie:

using System.Web;

class ExampleClass
{
    public void ExampleMethod()
    {
        HttpCookie httpCookie = new HttpCookie("cookieName");
        httpCookie.HttpOnly = true;
    }
}