Web.config system.web httpCookies 配置Cookie属性

httpcookies 的 secure 属性设为 true 却未生效，根本原因是 https 未真正启用或反向代理未透传 x-forwarded-proto；domain 必须带前导点（如“.example.com”）且 localhost 下必须留空；samesite=”none” 不支持直接在 web.config 配置，需代码设置或升级框架。

httpCookies 的 secure 属性设为 true 却没生效？

根本原因通常是 HTTPS 未真正启用，或者反向代理（如 nginx、azure Front Door）没透传 X-Forwarded-Proto。iis 和 .NET Framework 的 httpCookies 不会主动检测请求协议，只认 Request.IsSecureConnection，而这个值依赖底层 HTTPS 环境变量或代理头。

• 本地开发时用 HTTP 调试，secure="true" 会让浏览器直接拒收 Cookie —— 不报错，但 DevTools 的 Application → Cookies 里看不到它
• 部署到 IIS 后，若前端有反向代理，必须在 web.config 的 <system.webserver><httpprotocol><customheaders></customheaders></httpprotocol></system.webserver> 里加 X-Forwarded-Proto 透传，否则 secure="true" 形同虚设
• .NET Framework 4.7.2+ 支持 requireSSL="true"（在 <sessionstate></sessionstate> 中），但它和 httpCookies@secure 是两套逻辑，别混用

domain 属性填错了导致跨子域 Cookie 失效

domain 不是“填你自己的域名就行”，它必须带前导点（.example.com），且不能包含协议或端口。浏览器对 domain 匹配极其严格：当前页是 api.example.com:8080，Cookie 的 domain 设为 example.com（缺点）或 www.example.com（不匹配）都会被拒绝。

• 正确写法：domain=".example.com"（注意开头的点），这样 www.example.com、api.example.com 都能读取
• 如果站点只跑在 localhost，domain 必须留空（不要填 localhost），否则浏览器直接丢弃 Cookie
• IIS 默认不设置 domain，所以跨子域场景下必须显式配置，否则每个子域都是独立 Cookie 域

httpOnly 和 sameSite 组合使用时的兼容性陷阱

sameSite 在 web.config 里只能设为 Lax 或 Strict（.NET Framework 4.7.2+），不支持 None；而设 None 必须同时配 secure="true"，否则现代浏览器（chrome 80+）会直接忽略该 Cookie。

• sameSite="Lax" 是安全默认值，适合大多数登录态场景，但表单 POST 跨站提交时会丢失 Cookie
• 想用 sameSite="None"？不行 —— web.config 解析器会报错：“Unrecognized Attribute ‘sameSite’”，得改用代码方式（Response.Cookies["xxx"].SameSite = SameSiteMode.None）或升级到 .NET Core/5+
• httpOnly="true" 能防 xss 读取 Cookie，但它和 sameSite 无冲突，建议始终开启，除非你真需要 js 调用 document.cookie

web.config 修改后 Cookie 没刷新？缓存和浏览器行为要一起查

web.config 变更会触发应用池回收，但旧 Cookie 不会自动失效。用户可能还拿着过期的 HttpOnly 或 secure 错误的 Cookie，导致反复出问题。

• 改完 httpCookies 后，清掉浏览器所有对应域名的 Cookie（不只是删一条，是整个域）再测试
• 用 DevTools 的 Network 标签页看响应头：Set-Cookie 字段是否真的带上了 Secure、HttpOnly、SameSite=Lax 等属性
• 如果用了负载均衡或多实例部署，确保所有服务器的 web.config 完全一致 —— 差一个字母，domain 就可能变成无效值

最麻烦的不是配错哪一项，而是几项组合起来才暴露问题：比如 secure="true" + 反向代理没传头 + 浏览器缓存了旧 Cookie，三者叠在一起，连 Set-Cookie 响应都看不到，还以为是代码没走到那一步。