JRun/ColdFusion

Question

के साथ केवल कुकीज़ को मजबूर करना हमें यह सुनिश्चित करने की आवश्यकता है कि एक CF7 साइट पर सभी कुकीज़ केवल Http के रूप में सेट की गई हैं।

हम अपने सत्रों को नियंत्रित करने के लिए jsessionid का उपयोग कर रहे हैं, और जेआरयूएन इसे केवल एचटीपी के रूप में नहीं बनाते हैं।

हालांकि इस सेटिंग को जोड़ने के लिए मौजूदा कुकी को संशोधित करना संभव है, हमें इसे शुरुआत से ही सेट करने की आवश्यकता है।

कोई सुझाव?

संबंधित प्रश्न: Setting Secure flag for HTTPS cookies.

Answer 1

लक्ष्य है पहले अनुरोध सुरक्षित होने के लिए करने के लिए (और स्कैनिंग पारित), इसलिए यदि इस पोस्ट को शामिल किया गया है कि तब यह समस्या का समाधान होगा।

मुझे सही अगर मैं गलत हूँ, लेकिन जैसे आप HTTPS पर रीडायरेक्ट करने अगर एक अनुरोध HTTP पर में आता है की जरूरत है यह लग रहा है। कोल्डफ्यूजन को अनुरोध भेजने से पहले, क्या आप इसे यूआरएल रीराइटिंग नियम के साथ नहीं पकड़ सकते हैं?

Answer 2

से: http://www.petefreitag.com/item/764.cfm

सीएफ 8 या कम चल रहा है और Application.cfc

<cfcomponent> 
    <cfset this.sessionmanagement = true> 
    <cfset this.setclientcookies = false> 
    <cffunction name="onSessionStart"> 
     <cfheader name="Set-Cookie" value="CFID=#session.CFID#;path=/;HTTPOnly"> 
     <cfheader name="Set-Cookie" value="CFTOKEN=#session.CFTOKEN#;path=/;HTTPOnly"> 
    </cffunction> 
<cfcomponent> 

का उपयोग कर सुनिश्चित करें कि आप setclientcookies = false निर्दिष्ट किया है।

तो आप अभी भी एक Application.cfm फ़ाइल का उपयोग कर रहे हैं, तो Application.cfm

उपयोग करके, आप निम्न का उपयोग कर सकते हैं:

<cfapplication setclientcookies="false" sessionmanagement="true" name="test"> 
<cfif NOT IsDefined("cookie.cfid") OR NOT IsDefined("cookie.cftoken")> 
    <cfheader name="Set-Cookie" value="CFID=#session.CFID#;path=/;HTTPOnly"> 
    <cfheader name="Set-Cookie" value="CFTOKEN=#session.CFTOKEN#;path=/;HTTPOnly"> 
</cfif> 

Answer 3

सबसे पहले सभी PCI DSS शरणार्थियों का गर्मजोशी से स्वागत! एप्सकेन, वेबिनस्पेक्ट, हेल्स्टॉर्म और एनटीओएसपीडर फगिटिव भी आमंत्रित हैं। यहां एक सीट लें, मेरे पास आपके लिए केक है:

पीटर के लिए बहुत देर हो चुकी है, वास्तव में यह संभव है कि जेआरयूएन शुरूआत से ही HTTP (केवल सुरक्षित) कुकीज़ उत्पन्न करे। jrun-web.xml फ़ाइल की तलाश करें। यह शायद

C:\JRun4\servers\servername\cfusion-ear\cfusion-war\WEB-INF\ जैसी निर्देशिका में होगा।

आप cookie-config section के लिए निम्न जोड़ने के लिए: यदि आपकी साइट HTTPS है

<cookie-config> 
    <cookie-path>/;HttpOnly</cookie-path> 
</cookie-config> 

हैं, तो आप भी सुरक्षित कुकी विकल्प को सक्षम होना चाहिए। लेकिन सावधान रहें, इसके सर्वर चौड़े, आवेदन विशिष्ट नहीं है।

<cookie-config> 
    <cookie-secure>true</cookie-secure> 
    <cookie-path>/;HttpOnly</cookie-path> 
</cookie-config> 

आप MX7 या CF8 में फंस नहीं कर रहे हैं, वहाँ के लिए this in CF9.01Dcoldfusion.sessioncookie.httponly

एक अधिकारी सेटिंग है मैं ColdFusion MX7 और उस पर यह परीक्षण किया है: तो यह अपने साझा पर्यावरण के लिए उपयुक्त नहीं हो सकता अपेक्षित के रूप में काम करता है। मैंने किया Dodged Appscan।