IIS10部署ASP.NET混合应用HTTP绑定下Secure Cookie被拦截如何解决

问题成因 #

该问题是ASP.NET框架的Cookie安全策略和配置共同作用的结果，核心原因如下：

1. ASP.NET默认安全规则限制：从.NET Framework 4.7.2版本开始，框架默认对localhost之外的所有访问域名启用Cookie安全增强逻辑：默认要求会话Cookie、身份验证Cookie、防伪Cookie等核心业务Cookie携带Secure属性，仅当检测到当前请求为HTTPS时才会省略该属性。你使用自定义域名通过HTTP访问时，框架未识别到安全连接，但仍按非localhost域名的默认规则给Cookie添加了Secure属性，而该属性要求Cookie只能在HTTPS连接下传输，因此被浏览器拦截。
2. 显式配置错误：如果你的项目web.config中<system.web>节点下的<httpCookies>配置了requireSSL="true"，或是Forms身份验证的<forms>节点配置了requireSSL="true"，也会强制所有场景下的Cookie携带Secure属性，不受请求协议影响。
3. IIS全局规则影响：如果IIS站点配置了全局HTTP响应头修改规则、URL重写规则，强制给所有Set-Cookie响应头追加Secure属性，也会触发该问题。

修复方案 #

根据你的使用场景选择对应方案即可：

仅内网测试场景（暂不启用HTTPS） #

• 方案1：修改web.config配置关闭强制Secure属性
  在<system.web>节点下新增/修改如下配置：

  <!-- 全局Cookie配置 -->
  <httpCookies requireSSL="false" sameSite="Lax" />
  <!-- Forms身份验证配置（如果使用了Forms认证） -->
  <forms loginUrl="~/Account/Login" timeout="2880" requireSSL="false" />
  

  如果项目使用了MVC防伪校验，需要在Global.asax的Application_Start方法中新增一行配置：

  AntiForgeryConfig.RequireSsl = false;
  

• 方案2：禁用.NET Framework 4.7.2+的默认安全增强规则
  在web.config的<appSettings>节点下新增配置项：

  <add key="aspnet:SuppressSameSiteCookieSecureForHttp" value="true" />
  

• 方案3：清理IIS冲突规则
  检查站点的「HTTP响应头」配置、「URL重写」规则，删除强制给Set-Cookie头追加Secure属性的全局规则。

生产环境场景（推荐） #

生产环境不建议关闭Secure属性，HTTP传输Cookie存在被中间人窃取的风险，推荐采用如下方案：

1. 为站点申请SSL证书，在IIS中新增HTTPS绑定
2. 配置URL重写规则，将所有HTTP请求自动301跳转到HTTPS
3. 保留requireSSL="true"的安全配置，从根源上避免该问题。

内容的提问来源于stack exchange，提问作者Sophonias