ASP.NET MVC部署后生成随机Cookie的来源排查与移除方法咨询

一、Cookie来源排查步骤 #

• 先区分生成端：打开浏览器F12开发者工具的「网络」面板，刷新页面查看第一个页面请求的响应头是否存在Set-Cookie字段对应随机Cookie：
  • 如果存在，说明Cookie由服务端/IIS侧生成
  • 如果不存在，Cookie是后续前端JS执行时生成，可逐一禁用页面引入的JS脚本定位生成逻辑
• 排除IIS全局/站点级配置影响：在同IIS实例下部署空的默认ASP.NET MVC 5项目，访问后如果仍生成同款随机Cookie，说明是IIS全局配置导致，可重点排查以下项：
  • IIS是否安装了第三方WAF、安全防护、流量统计、负载均衡会话保持类模块，可在站点「模块」功能中逐一禁用测试
  • 检查IIS匿名身份验证配置，确认是否开启了匿名标识Cookie功能
  • 检查是否部署了ARR（应用请求路由）做反向代理/负载均衡，ARR默认会生成会话粘性Cookie
• 排查站点代码与配置：
  • 查看web.config配置，确认<anonymousIdentification>、<sessionState>节点的配置，匿名标识开启后默认会生成匿名用户Cookie
  • 检查Global.asax中Application_BeginRequest、Application_EndRequest等全局事件，是否有动态生成Cookie的逻辑
  • 检查是否注册了全局ActionFilter、ResultFilter，是否存在过滤器中写入Cookie的逻辑
  • 检查OWIN Startup类配置，MVC 5默认集成OWIN中间件，Cookie认证、防伪标记、会话管理类中间件都可能生成对应Cookie

二、Cookie用途确认方法 #

• 临时禁用定位到的Cookie生成逻辑/模块/配置，验证站点核心功能是否正常：包括用户登录状态保持、Session读写、表单提交、匿名用户功能是否可用
• 观察Cookie的属性：会话级Cookie（无过期时间，关闭浏览器自动清除）一般用于会话保持、CSRF防护、身份标识类场景；持久化Cookie一般用于用户行为追踪、匿名身份持久化场景

三、不需要的Cookie删除/禁用方案 #

• 若为ASP.NET匿名标识生成的Cookie，直接修改web.config配置关闭即可：

  <configuration>
    <system.web>
      <anonymousIdentification enabled="false" />
    </system.web>
  </configuration>
  

• 若为IIS第三方模块生成，直接在站点「模块」管理中禁用对应模块，或卸载不需要的IIS功能
• 若为业务代码/中间件生成，删除对应写入Cookie的逻辑即可；如果是OWIN中间件自动生成的，可修改中间件配置固定Cookie名或关闭自动生成逻辑
• 若无法修改上游生成逻辑，可在全局请求结束事件中主动移除不需要的Cookie，参考代码：

  protected void Application_EndRequest(object sender, EventArgs e)
  {
      // 按名称特征匹配要删除的随机Cookie
      var needRemoveKeys = Response.Cookies.AllKeys.Where(key => key.Length == 24 /* 替换为你实际的随机Cookie特征匹配规则 */).ToList();
      foreach (var key in needRemoveKeys)
      {
          Response.Cookies.Remove(key);
      }
  }
  

• 若为前端脚本生成，移除对应JS中的Cookie写入逻辑，或按合规要求添加用户授权后再生成的逻辑

内容的提问来源于stack exchange，提问作者Vaibhav Deshmukh