OWIN自托管Web API报Checkmarx Insecure Cookie漏洞如何修复

漏洞触发原因 #

Checkmarx报出该漏洞的核心原因是当前代码的OWIN管道配置未对Cookie设置强制安全属性，属于静态扫描规则的默认命中场景：

• 未配置Secure标记：Cookie可在HTTP明文链路中传输，存在被中间人窃听的风险
• 未配置HttpOnly标记：前端JavaScript脚本可直接读取Cookie内容，存在XSS攻击盗用身份的风险
• 未配置SameSite标记：跨站请求会默认携带Cookie，存在CSRF攻击风险

当前Startup.Configuration方法仅完成了路由注册、JSON序列化配置，没有任何Cookie安全加固逻辑，因此被扫描判定为不安全配置。

修复方案 #

在OWIN请求管道中添加响应头处理逻辑，统一给所有出站Cookie追加安全属性，修改后的Startup类参考代码如下：

public class Startup
{
    public void Configuration(IAppBuilder appBuilder)
    {
        HttpConfiguration config = new HttpConfiguration();
        config.Routes.MapHttpRoute(
            name: "DefaultApi",
            routeTemplate: "api/{controller}/{action}/{id}",
            defaults: new { id = RouteParameter.Optional }
        );

        // 新增Cookie安全属性统一处理中间件
        appBuilder.Use(async (context, next) =>
        {
            context.Response.OnSendingHeaders(state =>
            {
                var response = (IOwinResponse)state;
                foreach (var cookie in response.Cookies)
                {
                    // 生产环境必须开启Secure，仅允许HTTPS传输Cookie；本地HTTP调试可通过配置项临时关闭
                    cookie.Secure = true;
                    // 禁止前端脚本读取Cookie
                    cookie.HttpOnly = true;
                    // 按需调整SameSite模式，普通业务场景用Lax即可，高安全场景设为Strict
                    cookie.SameSite = SameSiteMode.Lax;
                }
            }, context.Response);

            await next.Invoke();
        });

        // 如果后续接入Cookie身份认证，需要同步给认证中间件配置相同安全规则
        // appBuilder.UseCookieAuthentication(new CookieAuthenticationOptions
        // {
        //     CookieSecure = CookieSecureOption.Always,
        //     CookieHttpOnly = true,
        //     CookieSameSite = SameSiteMode.Lax
        // });

        appBuilder.UseWebApi(config);
        config.Formatters.JsonFormatter.SerializerSettings = new JsonSerializerSettings();
    }
}

配置注意事项 #

• Secure属性生产环境必须强制开启，若本地调试使用HTTP协议，可通过配置文件读取环境标识动态设置，不要全局硬编码为false
• 若业务存在跨站携带Cookie的需求（比如跨域嵌入、第三方回调场景），可将SameSite设为None，但该模式下必须同时开启Secure属性，否则现代浏览器会直接拒绝Cookie
• 配置完成后重新执行Checkmarx扫描即可消除该告警

内容的提问来源于stack exchange，提问作者Pragyanand