Отдельные идентификаторы сессии ASP.NET для http и https

Question

Я работаю на веб-сайте, который использует незащищенный файл cookie сеанса asp.net. Сеанс разделяется между http и https. Мы хотим использовать разные сессии для http и https (из соображений безопасности).

Это настраивается в ASP.NET, элемент конфигурации httpCookies в system.web недостаточно конкретен. Я бы предпочел не делать это программно.

Если это невозможно, какой подход мне выбрать?

Answer 1

Я бы настроил файлы https в папке с именем «Secure» в качестве дополнительного приложения http-приложения в IIS. Щелкните правой кнопкой мыши на Мой компьютер (или Компьютер в Windows Server 2008) и выберите «Управление». Разверните Сервисы, затем Информационную службу Интернета, затем Веб-сайты. Затем разверните свой веб-сайт и щелкните правой кнопкой мыши на папке «Secure», которую вы только что создали. На вкладке по умолчанию нажмите «Создать приложение». Каждый раз, когда у вас есть переход на страницу https, убедитесь, что вы используете "https://www.yourdomain.com/Secure/" в начале URL-адреса. Я бы просто использовал параметр конфигурации в web.config, чтобы установить эту строку URL-адреса как программно доступное значение. Затем ваше суб-приложение https установит новый файл cookie сеанса, поскольку это отдельное приложение.