IBM AppScan 安全扫描：加密会话（SSL）Cookie 中缺少 Secure 属性处理办法

最新推荐文章于 2023-05-31 11:16:19 发布

李晓LOVE向阳

最新推荐文章于 2023-05-31 11:16:19 发布

阅读量2.9k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：网络安全

本文链接：https://blog.youkuaiyun.com/u013310119/article/details/84860315

网络安全专栏收录该内容

16 篇文章

订阅专栏

本文分析了IBMSecurityAppScanStandard安全报告中指出的问题，即在启用Https时，未正确设置cookie的Secure属性。文章提供了两种解决方案：一是配置服务器使用HttpsSSL方式；二是通过响应头设置，允许跨域请求并确保安全凭证的正确传递。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一问题描述：

IBM Security AppScan Standard给出系统安全报告：

原因分析：

服务器开启了Https时，cookie的Secure属性应设为true；

解决办法：
1.服务器配置Https SSL方式，参考：https://blog.youkuaiyun.com/u013310119/article/details/80182548
2.修改

response.setHeader("Access-Control-Allow-Origin", request.getHeader("Origin"));
response.setHeader("Access-Control-Allow-Methods", "POST, GET");//允许跨域的请求方式
response.setHeader("Access-Control-Max-Age", "3600");//预检请求的间隔时间
response.setHeader("Access-Control-Allow-Headers", "Origin, No-Cache, X-Requested-With, If-Modified-Since, Pragma, Last-Modified, Cache-Control, Expires, Content-Type, X-E4M-With,userId,token,Access-Control-Allow-Headers");//允许跨域请求携带的请求头
response.setHeader("Access-Control-Allow-Credentials","true");//若要返回cookie、携带seesion等信息则将此项设置我true

一个朋友新做的公众号，帮忙宣传一下，会不定时推送一些开发中碰到的问题的解决方法，以及会分享一些开发视频。资料等。请大家关注一下谢谢：