MVC应用中配置Cookie安全标识及定位OPENIAM_AUTH_TOKEN生成方的方法

一、先定位OPENIAM_AUTH_TOKEN的生成方 #

既然你说自己的应用代码里没提这个Cookie，那大概率是第三方组件、OpenIAM相关的SDK，或者是调用第三方API时对方返回并被转发的Cookie，你可以按下面的步骤排查：

• 检查项目依赖：看看你的MVC项目引用的NuGet包、dll文件里有没有OpenIAM相关的组件（比如OpenIAM的.NET身份验证SDK），这类组件通常会自动生成身份验证Cookie。
• 用浏览器开发者工具追踪：打开Chrome/Firefox的开发者工具→Network面板，重新触发登录或相关请求，查看每个响应的Set-Cookie头，找到OPENIAM_AUTH_TOKEN是来自你自己的服务器响应，还是第三方API的响应。如果是第三方API返回的，那就是调用时被转发到浏览器的；如果是自己服务器返回的，那得找项目里的中间件、过滤器或者初始化配置。
• 全局搜索解决方案：在Visual Studio里用Ctrl+Shift+F搜索整个项目的所有文件（包括Web.config、Global.asax、Startup.cs这些配置文件），关键词搜OPENIAM_AUTH_TOKEN，说不定在某个第三方组件的配置项里提到过。
• 检查IIS配置：如果你的应用部署在IIS上，看看有没有启用URL重写、IIS模块（比如身份验证模块），有些模块会自动添加Cookie。

二、给OPENIAM_AUTH_TOKEN添加Secure标识 #

根据生成方的不同，处理方式也不一样：

1. 如果是第三方组件/SDK生成的（自己服务器返回） #

先查该组件的官方文档或配置选项，很多身份验证SDK会提供开启Secure Cookie的配置。比如在Web.config的<appSettings>里添加：

<add key="OpenIAM.SecureCookie" value="true" />

具体键名可能需要看组件文档，要是找不到明确的配置，就用下面的拦截方法。

2. 拦截响应修改Cookie头 #

不管是自己服务器生成还是转发第三方的Cookie，都可以通过拦截HTTP响应来修改Set-Cookie头，添加Secure标识：

方法A：用MVC ActionFilter

创建一个自定义过滤器，在响应返回前修改Cookie：

public class SecureOpeniamCookieFilter : ActionFilterAttribute
{
    public override void OnResultExecuted(ResultExecutedContext filterContext)
    {
        var response = filterContext.HttpContext.Response;
        var setCookieHeaders = response.Headers.GetValues("Set-Cookie");
        
        if (setCookieHeaders == null) return;
        
        // 先移除原有的Set-Cookie头
        response.Headers.Remove("Set-Cookie");
        
        foreach (var cookieHeader in setCookieHeaders)
        {
            if (cookieHeader.StartsWith("OPENIAM_AUTH_TOKEN="))
            {
                // 添加Secure标识
                response.Headers.Add("Set-Cookie", $"{cookieHeader}; Secure");
            }
            else
            {
                // 其他Cookie保持原样
                response.Headers.Add("Set-Cookie", cookieHeader);
            }
        }
        
        base.OnResultExecuted(filterContext);
    }
}

然后在Global.asax里注册这个过滤器：

protected void Application_Start()
{
    // 其他初始化代码...
    GlobalFilters.Filters.Add(new SecureOpeniamCookieFilter());
}

方法B：用IIS URL重写模块

如果你的应用部署在IIS上，也可以通过URL重写规则来修改响应头，不需要改代码：
在Web.config里添加<rewrite>节点（如果没有的话）：

<system.webServer>
    <rewrite>
        <outboundRules>
            <rule name="Add Secure Flag to OPENIAM_AUTH_TOKEN">
                <match serverVariable="RESPONSE_Set-Cookie" pattern="^(OPENIAM_AUTH_TOKEN=.*)$" />
                <action type="Rewrite" value="{R:1}; Secure" />
                <!-- 只有在HTTPS下才添加，避免HTTP环境下失效 -->
                <conditions>
                    <add input="{HTTPS}" pattern="on" />
                </conditions>
            </rule>
        </outboundRules>
    </rewrite>
</system.webServer>

注意点 #

你已经设置了<httpCookies httpOnlyCookies="true" requireSSL="true"/>，这个配置只对ASP.NET原生API生成的Cookie（比如FormsAuthentication的Cookie）生效，对第三方组件或外部API返回的Cookie是不起作用的，所以才需要上面的额外处理。

内容的提问来源于stack exchange，提问作者Akshay