Cookie Security: Cookie not Sent Over SSL

建立 Cookie 時，isSecure 參數未設為 true。

現代的網路瀏覽器支援每個 Cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie 易使 Cookie 受到網路攔截攻擊，因此安全旗標有助於保持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。

範例 1：在以下範例中，Cookie 已建立，但未將 isSecure 參數設為 true。

...
Cookie cookie = new Cookie('emailCookie', emailCookie, path, maxAge, false, 'Strict');
...

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 isSecure 參數，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量對攻擊者而言是稀鬆平常之事，而且透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會危及應用程式的安全。

建立 cookie 時，Secure 旗標未設為 true。

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。

範例 1：在以下範例中，Cookie 已新增至回應，而未設定 Secure 屬性。

...
 HttpCookie cookie = new HttpCookie("emailCookie", email);
    Response.AppendCookie(cookie);
...

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。

程式建立 Cookie 時未將 Secure 旗標設為 true

現代的網頁瀏覽器支援每個 Cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。如果 Cookie 包含隱私資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。
範例 1：以下程式碼將 Cookie 新增到回應中，而未設定 Secure 旗標。

cookie := http.Cookie{
  Name:     "emailCookie",
  Value:    email,
}
http.SetCookie(response, &cookie)
...

若應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。

建立 cookie 時，Secure 旗標未設為 true。

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：在以下範例中，Cookie 已新增至回應，而未將 Secure 屬性設定為 true。

  res.cookie('important_cookie', info, {domain: 'secure.example.com', path: '/admin', httpOnly: true, secure: false});

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。

建立 cookie 時，NSHTTPCookieSecure 旗標未設為 TRUE。

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：在以下範例中，Cookie 已新增至回應，而未設定 Secure 旗標。

  ...
  NSDictionary *cookieProperties = [NSDictionary dictionary];
  ...
  NSHTTPCookie *cookie = [NSHTTPCookie cookieWithProperties:cookieProperties];
  ...

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。

程式建立 Cookie 時未將 Secure 旗標設為 true

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：以下程式碼將 Cookie 新增到回應中，而未設定 Secure 旗標。

...
setcookie("emailCookie", $email, 0, "/", "www.example.com");
...

若應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。

程式建立 Cookie 時未將 Secure 旗標設為 True

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。如果 Cookie 包含私人資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。
範例 1：以下程式碼將 Cookie 新增到回應中，而未設定 Secure 旗標。

from django.http.response import HttpResponse
...
def view_method(request):
  res = HttpResponse()
  res.set_cookie("emailCookie", email)
  return res
...

若應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。

建立 Cookie 時，Secure 旗標未設為 true。

現代的網頁瀏覽器支援每個 Cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：在以下範例中，Cookie 已新增至回應，而未設定 Secure 旗標。

    Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, secure = false))

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。

建立 cookie 時，NSHTTPCookieSecure 旗標未設為 TRUE。

現代的網頁瀏覽器支援每個 Cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：在以下範例中，Cookie 已新增至回應，而未設定 Secure 旗標。

...
let properties = [
    NSHTTPCookieDomain: "www.example.com",
    NSHTTPCookiePath: "/service",
    NSHTTPCookieName: "foo",
    NSHTTPCookieValue: "bar"
]
let cookie : NSHTTPCookie? = NSHTTPCookie(properties:properties)
...

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。