.NET 4.7.2下ASP.NET MVC重定向自动生成Set-Cookie的原因及漏洞修复

首先明确：登录成功后返回302重定向并设置.AspNet.ApplicationCookie是ASP.NET身份验证的标准流程，本身不属于安全漏洞。但如果Cookie缺少关键安全属性，才会带来风险。以下是具体修复方案：

1. 修正Cookie配置方式 #

在Startup.Auth.cs的UseCookieAuthentication中，不要将SameSite拼接到CookiePath里，.NET 4.7.2原生支持单独配置Cookie安全属性，完整配置示例：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    CookieName = ".AspNet.ApplicationCookie",
    CookiePath = "/",
    // 核心安全配置
    CookieHttpOnly = true, // 禁止前端JS读取Cookie，防范XSS攻击
    CookieSecure = CookieSecureOption.Always, // 仅HTTPS传输Cookie（生产环境强制开启）
    CookieSameSite = SameSiteMode.Lax, // 限制Cookie跨站传输，防范CSRF
    ExpireTimeSpan = TimeSpan.FromHours(8), // 设置Cookie有效期
    SlidingExpiration = true, // 滑动过期，用户活跃时自动延长有效期
    Provider = new CookieAuthenticationProvider
    {
        // 可选：定期验证用户安全戳，防止Cookie被盗用
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30),
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
    }
});

2. 环境适配调整 #

• 开发环境（HTTP）可临时将CookieSecure设为CookieSecureOption.SameAsRequest，避免Cookie无法传输；
• 生产环境必须强制开启CookieSecureOption.Always，确保Cookie仅在HTTPS通道传输。

3. 验证配置生效 #

登录成功后，通过浏览器开发者工具的Application标签查看Cookie属性：

• 确认HttpOnly标记已勾选
• 确认Secure标记在HTTPS环境下已勾选
• 确认SameSite属性为Lax
• 确认Path为/

关键说明 #

服务器通过Set-Cookie头返回身份验证Cookie是合法的登录流程，不存在“暴露漏洞”。真正的风险源于Cookie缺少HttpOnly、Secure、SameSite等安全属性，只要完成上述配置，就能有效防范XSS、CSRF及Cookie明文泄露等风险。

内容的提问来源于stack exchange，提问作者Urja Sehgal