appscan问题具有不安全、不正确或缺少SameSite属性的Cookie

黄武森 2021-02-22 09:19:54

appscan更新软件更新后就出现这个问题。不知道怎么解决

...全文

2352 回复打赏收藏转发到动态举报

写回复

回复

切换为时间正序

请发表友善的回复…

发表回复

博客详细介绍了HTTP协议中的SameSite属性，用于防止CSRF攻击。它有三个取值：Strict、Lax和None。Strict完全禁止第三方Cookie，Lax在特定情况下允许，而None需配合Secure属性使用。修复此漏洞通常涉及设置SameSite属性以增强网站安全性。

Chrome 51起，浏览器Cookie新增SameSite属性，用于防止CSRF攻击和用户追踪。CSRF攻击是恶意网站伪造带正确Cookie的HTTP请求。SameSite属性可设为Strict、Lax、None三个值，不同值对第三方Cookie的限制程度不同，设置后能在一定程度上杜绝CSRF攻击。

本文介绍了一种用于增强Web应用安全性，防止Session劫持的Cookie管理方案。通过创建自定义的Cookie过滤器和工具类，实现对Cookie的Secure和HttpOnly属性的设置，确保在HTTPS环境下传输的Cookie更加安全。

本文针对AppScan扫描出的加密会话Cookie中缺少Secure属性的漏洞，详细阐述了攻击原理及修复建议，提供了Java、.NET、PHP等多平台的代码示例，并探讨了在支持HTTPS和HTTP双协议下Cookie配置的解决方案。

本文介绍了如何在不修改后端代码的情况下，通过Nginx配置来为加密会话（SSL）Cookie添加Secure属性，以增强安全性。通过在Nginx的proxy_cookie_path指令中设置`httponly;secure;SameSite=Lax`，成功解决了AppScan检测到的问题，并展示了修复后的效果。

51,408

社区成员

86,094

社区内容

发帖

与我相关

我的任务

javaspring bootspring cloud 技术论坛（原bbs）

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章