軟體安全性並非安全性軟體。我們關注驗證、Access Control、保密性、加密以及權限管理之類的主題。
{
"name": "[split(parameters('aksResourceId'),'/')[8]]",
"type": "Microsoft.ContainerService/managedClusters",
"apiVersion": "2018-03-31",
"properties": {
"mode": "Incremental",
"id": "[parameters('aksResourceId')]",
}
}
{
"name": "string",
"type": "microsoft.insights/logprofiles",
"apiVersion": "2016-03-01",
...
"properties": {
...
"categories": [
"Write"
],
...
}
}
{
"name": "Security Officer",
"type": "Microsoft.Security/securityContacts",
"apiVersion": "2020-01-01-preview",
"properties": {
"emails": "secofficer@example.com",
"phone": "1212131314",
"alertNotifications": {
"state": "Off",
"minimalSeverity": "High"
},
...
}
{
"name": "ProdSQLServer",
"type": "Microsoft.Sql/servers",
"apiVersion": "2021-02-01-preview",
...
"properties": {
"collation": "SQL_Latin1_General_CP1_CI_AS",
...
"resources": []
}
...
}
LocalAuthentication 框架來驗證使用者，這可能無法滿足需要加強型安全性控制的應用程式的要求。LocalAuthentication 框架或使用以 Touch ID 為基礎的存取控制 (在金鑰鏈服務中)。LocalAuthentication 方法具有的某些特性，使其不太適用於高風險的應用程式 (例如金融、醫療和保險)：LocalAuthentication 在裝置的 Secure Enclave 外部定義，意味著可以在已破解的裝置上連結和修改其 API。LocalAuthentication 透過評估上下文策略 (可能僅評估為 true 或 false) 來驗證使用者。此布林值評估表示應用程式將無法得知真正經過驗證的使用者，它只知道是否使用了向裝置註冊的指紋。此外，未來可能註冊的指紋也會成功評估為 true。LocalAuthentication 框架來執行使用者驗證：
...
LAContext *context = [[LAContext alloc] init];
NSError *error = nil;
NSString *reason = @"Please authenticate using the Touch ID sensor.";
if ([context canEvaluatePolicy:LAPolicyDeviceOwnerAuthenticationWithBiometrics error:&error]) {
[context evaluatePolicy:LAPolicyDeviceOwnerAuthenticationWithBiometrics
localizedReason:reason
reply:^(BOOL success, NSError *error) {
if (success) {
// Fingerprint was authenticated
} else {
// Fingerprint could not be authenticated
}
}
];
...
LocalAuthentication 框架來驗證使用者，這可能無法滿足需要加強型安全性控制的應用程式的要求。LocalAuthentication 框架或使用以 Touch ID 為基礎的存取控制 (在金鑰鏈服務中)。LocalAuthentication 方法具有的某些特性，使其不太適用於高風險的應用程式 (例如金融、醫療和保險)：LocalAuthentication 在裝置的 Secure Enclave 外部定義，意味著可以在已破解的裝置上連結和修改其 API。LocalAuthentication 透過評估上下文策略 (可能僅評估為 true 或 false) 來驗證使用者。此布林值評估表示應用程式將無法得知真正經過驗證的使用者，它只知道是否使用了向裝置註冊的指紋。此外，未來可能註冊的指紋也會成功評估為 true。LocalAuthentication 框架來執行使用者驗證：
...
let context:LAContext = LAContext();
var error:NSError?
let reason:String = "Please authenticate using the Touch ID sensor."
if (context.canEvaluatePolicy(LAPolicy.DeviceOwnerAuthenticationWithBiometrics, error: &error)) {
context.evaluatePolicy(LAPolicy.DeviceOwnerAuthenticationWithBiometrics, localizedReason: reason, reply: { (success, error) -> Void in
if (success) {
// Fingerprint was authenticated
}
else {
// Fingerprint could not be authenticated
}
})
}
...
isSecure 參數未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie 易使 Cookie 受到網路攔截攻擊，因此安全旗標有助於保持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。isSecure 參數設為 true。
...
Cookie cookie = new Cookie('emailCookie', emailCookie, path, maxAge, false, 'Strict');
...
isSecure 參數，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量對攻擊者而言是稀鬆平常之事，而且透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會危及應用程式的安全。Secure 旗標未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 屬性。
...
HttpCookie cookie = new HttpCookie("emailCookie", email);
Response.AppendCookie(cookie);
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。Secure 旗標設為 trueSecure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。如果 Cookie 包含隱私資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。Secure 旗標。
cookie := http.Cookie{
Name: "emailCookie",
Value: email,
}
http.SetCookie(response, &cookie)
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。Secure 旗標未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。use-secure-cookie 屬性允許透過未加密的傳輸傳送 remember-me Cookie。
<http auto-config="true">
...
<remember-me use-secure-cookie="false"/>
</http>
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。Secure 旗標未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 屬性設定為 true。
res.cookie('important_cookie', info, {domain: 'secure.example.com', path: '/admin', httpOnly: true, secure: false});
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。NSHTTPCookieSecure 旗標未設為 TRUE。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 旗標。
...
NSDictionary *cookieProperties = [NSDictionary dictionary];
...
NSHTTPCookie *cookie = [NSHTTPCookie cookieWithProperties:cookieProperties];
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。Secure 旗標設為 trueSecure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 旗標。
...
setcookie("emailCookie", $email, 0, "/", "www.example.com");
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。Secure 旗標設為 TrueSecure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。如果 Cookie 包含私人資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。Secure 旗標。
from django.http.response import HttpResponse
...
def view_method(request):
res = HttpResponse()
res.set_cookie("emailCookie", email)
return res
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。Secure 旗標未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 旗標。
Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, secure = false))
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。NSHTTPCookieSecure 旗標未設為 TRUE。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 旗標。
...
let properties = [
NSHTTPCookieDomain: "www.example.com",
NSHTTPCookiePath: "/service",
NSHTTPCookieName: "foo",
NSHTTPCookieValue: "bar"
]
let cookie : NSHTTPCookie? = NSHTTPCookie(properties:properties)
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。CSRF_COOKIE_SECURE 屬性明確設為 True，或是將其設為 False。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。如果 Cookie 包含私人資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。Secure 位元。
...
MIDDLEWARE = (
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'csp.middleware.CSPMiddleware',
'django.middleware.security.SecurityMiddleware',
...
)
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
HttpCookie cookie = new HttpCookie("emailCookie", email);
Response.AppendCookie(cookie);
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
cookie := http.Cookie{
Name: "emailCookie",
Value: email,
}
...
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
javax.servlet.http.Cookie cookie = new javax.servlet.http.Cookie("emailCookie", email);
// Missing a call to: cookie.setHttpOnly(true);
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。httpOnly 屬性。
res.cookie('important_cookie', info, {domain: 'secure.example.com', path: '/admin'});
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
setcookie("emailCookie", $email, 0, "/", "www.example.com", TRUE); //Missing 7th parameter to set HttpOnly
HttpOnly 旗標設為 True。HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
from django.http.response import HttpResponse
...
def view_method(request):
res = HttpResponse()
res.set_cookie("emailCookie", email)
return res
...
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, httpOnly = false))
HttpCookie.HttpOnly 屬性設定為 true。httpOnlyCookies 屬性的預設值為 false，表示可以透過用戶端 script 來存取 cookie。這是不必要的 Cross-Site Scripting 威脅，會導致 cookie 遭竊取。遭竊取的 cookie 可能包含可識別網站使用者的敏感資訊，例如 ASP.NET 工作階段 ID 或 forms authentication 許可證，並且可能會遭攻擊者重複攻擊，以偽裝使用者或取得敏感資訊。
<configuration>
<system.web>
<httpCookies httpOnlyCookies="false">
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。django.middleware.csrf.CsrfViewMiddleware Django 中介軟體時，會在未設定 HttpOnly 屬性的情況下傳送 CSRF Cookie。
...
MIDDLEWARE = (
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'csp.middleware.CSPMiddleware',
'django.middleware.security.SecurityMiddleware',
...
)
...
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 旗標設為 true。
server.servlet.session.cookie.http-only=false
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 旗標設為 true。
session_set_cookie_params(0, "/", "www.example.com", true, false);
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
...
MIDDLEWARE = (
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'csp.middleware.CSPMiddleware',
'django.middleware.security.SecurityMiddleware',
...
)
...
SESSION_COOKIE_HTTPONLY = False
...
SameSite 屬性。SameSite 參數會限制 Cookie 的範圍，所以只會在要求是從第一方或相同網站環境產生時，才會附加到要求。這有助於防範來自 Cross-Site Request Forgery (CSRF) 攻擊者的 Cookie。SameSite 參數可以有以下三個值：Strict 時，Cookie 僅與最上層導覽的要求一起傳送。Lax 時，Cookie 會與來自同一主機的最上層導覽以及從第三方網站發起到主機的 GET 要求一起傳送。例如，假設第三方網站使用 iframe 或 href 標籤來連結至主機網站。如果使用者點選連結，要求將會包含 Cookie。SameSite 屬性設為 None。
...
Cookie cookie = new Cookie('name', 'Foo', path, -1, true, 'None');
...
SameSite 屬性。SameSite 屬性限制了 Cookie 的範圍，所以只會在要求是從第一方或相同網站環境產生時，才會附加到要求。這有助於防範來自 Cross-Site Request Forgery (CSRF) 攻擊者的 Cookie。SameSite 屬性可以有以下三個值：Strict 時，Cookie 僅與最上層導覽的要求一起傳送。Lax 時，Cookie 會從同一主機透過頂層導覽傳送，還有透過來自第三方網站的 GET 要求傳送，包括那些具有 iframe 或 href 標籤 (會連結至主機站點) 的要求。如果使用者點選連結，要求將會包含 Cookie。SameSite 屬性。
...
CookieOptions opt = new CookieOptions()
{
SameSite = SameSiteMode.None;
};
context.Response.Cookies.Append("name", "Foo", opt);
...
SameSite 屬性。SameSite 屬性限制了 Cookie 的範圍，所以只會在要求是從第一方或相同網站環境產生時，才會附加到要求。這有助於防範來自 Cross-Site Request Forgery (CSRF) 攻擊者的 Cookie。SameSite 屬性可以有以下三個值：Strict 時，Cookie 僅與最上層導覽的要求一起傳送。Lax 時，Cookie 會與來自同一主機的最上層導覽以及從第三方網站發起到主機的 GET 要求一起傳送。例如，假設第三方網站使用 iframe 或 href 標籤來連結至主機網站。如果使用者點選連結，要求將會包含 Cookie。SameSite 屬性。
c := &http.Cookie{
Name: "cookie",
Value: "samesite-none",
SameSite: http.SameSiteNoneMode,
}
SameSite 屬性。SameSite 屬性限制了 Cookie 的範圍，所以只會在要求是從第一方或相同網站環境產生時，才會附加到要求。這有助於防範來自 Cross-Site Request Forgery (CSRF) 攻擊者的 Cookie。SameSite 屬性可以有以下三個值：Strict 時，Cookie 僅與最上層導覽的要求一起傳送。Lax 時，Cookie 會從同一主機透過頂層導覽傳送，還有透過來自第三方網站的 GET 要求傳送，包括那些具有 iframe 或 href 標籤 (會連結至主機站點) 的要求。例如，假設有一個第三方網站使用 iframe 或 href 標籤來連結至主機網站。如果使用者點選連結，要求將會包含 Cookie。SameSite 屬性。
ResponseCookie cookie = ResponseCookie.from("myCookie", "myCookieValue")
...
.sameSite("None")
...
SameSite 屬性。SameSite 屬性限制了 Cookie 的範圍，所以只會在要求是從第一方或相同網站環境產生時，才會附加到要求。這有助於防範來自 Cross-Site Request Forgery (CSRF) 攻擊者的 Cookie。SameSite 屬性可以有以下三個值：Strict 時，Cookie 僅與最上層導覽的要求一起傳送。Lax 時，Cookie 會從同一主機透過頂層導覽傳送，還有透過來自第三方網站的 GET 要求傳送，包括那些具有 iframe 或 href 標籤 (會連結至主機站點) 的要求。例如，假設有一個第三方網站使用 iframe 或 href 標籤來連結至主機網站。如果使用者點選連結，要求將會包含 Cookie。SameSite 屬性。
app.get('/', function (req, res) {
...
res.cookie('name', 'Foo', { sameSite: false });
...
}
SameSite 屬性。SameSite 屬性限制了 Cookie 的範圍，所以只會在要求是從第一方或相同網站環境產生時，才會附加到要求。這有助於防範來自 Cross-Site Request Forgery (CSRF) 攻擊者的 Cookie。SameSite 屬性可以有以下三個值：Strict 時，Cookie 僅與最上層導覽的要求一起傳送。Lax 時，Cookie 會與來自同一主機的最上層導覽以及從第三方網站發起到主機的 GET 要求一起傳送。例如，假設第三方網站使用 iframe 或 href 標籤來連結至主機網站。如果使用者點選連結，要求將會包含 Cookie。SameSite 屬性。
ini_set("session.cookie_samesite", "None");
SameSite 屬性。samesite 參數會限制 Cookie 的範圍，所以只會在要求是從第一方或相同網站環境產生時，才會附加到要求。這有助於防範來自 Cross-Site Request Forgery (CSRF) 攻擊者的 Cookie。samesite 參數可以有以下三個值：Strict 時，Cookie 僅與最上層導覽的要求一起傳送。Lax 時，Cookie 會與來自同一主機的最上層導覽以及從第三方網站發起到主機的 GET 要求一起傳送。例如，假設第三方網站使用 iframe 或 href 標籤來連結至主機網站。如果使用者點選連結，要求將會包含 Cookie。SameSite 屬性。
response.set_cookie("cookie", value="samesite-none", samesite=None)
.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
HttpCookie cookie = new HttpCookie("sessionID", sessionID);
cookie.Domain = ".example.com";
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 弱點。 任何已向 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 Cookie 的風險。insecure.example.com 來自行建立路徑範圍過大的 Cookie，藉此執行可從 secure.example.com 覆寫 Cookie 的 Cookie Poisoning 攻擊。.example.com」) 內啟用。這會將 cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
cookie := http.Cookie{
Name: "sessionID",
Value: getSessionID(),
Domain: ".example.com",
}
...
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 弱點。任何已向 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 Cookie 的風險。insecure.example.com 來自行建立範圍過大的 Cookie，藉此執行可從 Secure.example.com 覆寫 Cookie 的「Cookie 破壞攻擊」。.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
Cookie cookie = new Cookie("sessionID", sessionID);
cookie.setDomain(".example.com");
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-site scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
cookie_options = {};
cookie_options.domain = '.example.com';
...
res.cookie('important_cookie', info, cookie_options);
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
...
NSDictionary *cookieProperties = [NSDictionary dictionary];
...
[cookieProperties setValue:@".example.com" forKey:NSHTTPCookieDomain];
...
NSHTTPCookie *cookie = [NSHTTPCookie cookieWithProperties:cookieProperties];
...
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-site scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
setcookie("mySessionId", getSessionID(), 0, "/", ".example.com", true, true);
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-site scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
from django.http.response import HttpResponse
...
def view_method(request):
res = HttpResponse()
res.set_cookie("mySessionId", getSessionID(), domain=".example.com")
return res
...
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。insecure.example.com 來自行建立過大範圍的 Cookie，藉此執行可從 secure.example.com 覆寫 Cookie 的「Cookie 破壞攻擊」。.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, domain = Some(".example.com")))
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 弱點。 任何已向 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 Cookie 的風險。insecure.example.com 來自行建立路徑範圍過大的 Cookie，藉此執行可從 secure.example.com 覆寫 Cookie 的 Cookie Poisoning 攻擊。.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。
...
let properties = [
NSHTTPCookieDomain: ".example.com",
NSHTTPCookiePath: "/service",
NSHTTPCookieName: "foo",
NSHTTPCookieValue: "bar",
NSHTTPCookieSecure: true
]
let cookie : NSHTTPCookie? = NSHTTPCookie(properties:properties)
...
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。/」) 存取。此舉會將 cookie 揭露給網域上所有的Ｗeb 應用程式。由於 cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。例如：
...
String path = '/';
Cookie cookie = new Cookie('sessionID', sessionID, path, maxAge, true, 'Strict');
...
http://communitypages.example.com/EvilSite 建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 之論壇使用者的帳戶安全。/EvilSite 來自行建立過大範圍的 Cookie，藉此執行可從 /MyForum 覆寫 Cookie 的 Cookie 破壞攻擊。/」，不過，這麼做會將 Cookie 揭露給同一個網域的所有 Web 應用程式。由於 cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
HttpCookie cookie = new HttpCookie("sessionID", sessionID);
cookie.Path = "/";
http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。/EvilSite 來自行建立過大範圍的 cookie，藉此執行可從 /MyForum 覆寫 cookie 的 Cookie 下毒攻擊。/」) 存取。此舉會將 cookie 揭露給網域上所有的Ｗeb 應用程式。由於 cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
cookie := http.Cookie{
Name: "sessionID",
Value: sID,
Expires: time.Now().AddDate(0, 0, 1),
Path: "/",
}
...
http://communitypages.example.com/EvilSite 建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當論壇使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 之論壇使用者的帳戶安全。/EvilSite 來自行建立範圍過大的 Cookie，藉此執行可從 /MyForum 覆寫 Cookie 的「Cookie 破壞攻擊」。/」) 存取 Cookie」，不過，這麼做會將 Cookie 揭露給網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
Cookie cookie = new Cookie("sessionID", sessionID);
cookie.setPath("/");
http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。/EvilSite 來自行建立過大範圍的 cookie，藉此執行可從 /MyForum 覆寫 cookie 的 Cookie 下毒攻擊。/」) 存取 Cookie」，不過，這麼做會將 Cookie 揭露給網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
cookie_options = {};
cookie_options.path = '/';
...
res.cookie('important_cookie', info, cookie_options);
http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。/EvilSite 來自行建立過大範圍的 cookie，藉此執行可從 /MyForum 覆寫 cookie 的 Cookie 下毒攻擊。/」) 存取 Cookie」，不過，這麼做會將 Cookie 揭露給網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
...
NSDictionary *cookieProperties = [NSDictionary dictionary];
...
[cookieProperties setValue:@"/" forKey:NSHTTPCookiePath];
...
NSHTTPCookie *cookie = [NSHTTPCookie cookieWithProperties:cookieProperties];
...
http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。/EvilSite 來自行建立過大範圍的 cookie，藉此執行可從 /MyForum 覆寫 cookie 的 Cookie 下毒攻擊。/」) 存取 Cookie」，不過，這麼做會將 Cookie 揭露給網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
setcookie("mySessionId", getSessionID(), 0, "/", "communitypages.example.com", true, true);
http://communitypages.example.com/EvilSite 建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。/EvilSite 來自行建立過大範圍的 cookie，藉此執行可從 /MyForum 覆寫 cookie 的 Cookie 下毒攻擊。/」) 存取 Cookie」，不過，這麼做會將 Cookie 揭露給網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
from django.http.response import HttpResponse
...
def view_method(request):
res = HttpResponse()
res.set_cookie("sessionid", value) # Path defaults to "/"
return res
...
http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。/EvilSite 來自行建立過大範圍的 Cookie，藉此執行可從 /MyForum 覆寫 Cookie 的「Cookie 破壞攻擊」。/」) 存取 Cookie」，不過，這麼做會將 Cookie 揭露給網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, path = "/"))
http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。/EvilSite 來自行建立路徑範圍過大的 Cookie，藉此執行可從 /MyForum 覆寫 Cookie 的 Cookie Poisoning 攻擊。/」) 存取 Cookie」，不過，這麼做會將 Cookie 揭露給網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 ID Cookie。
...
let properties = [
NSHTTPCookieDomain: "www.example.com",
NSHTTPCookiePath: "/",
NSHTTPCookieName: "foo",
NSHTTPCookieValue: "bar",
NSHTTPCookieSecure: true
]
let cookie : NSHTTPCookie? = NSHTTPCookie(properties:properties)
...
http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。/EvilSite 來自行建立過大範圍的 cookie，藉此執行可從 /MyForum 覆寫 cookie 的 Cookie 下毒攻擊。.example.com"。不過，這麼做會將階段作業 Cookie 揭露給基礎網域名稱及任何子網域中的所有 Web 應用程式。洩漏階段作業 Cookie 可能會造成帳戶洩漏。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 Cookie。
server.servlet.session.cookie.domain=.example.com
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 弱點。任何已向 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 Cookie 的風險。.example.com"。這會將工作階段 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。在應用程式間共用 Cookie 可能會使一個應用程式中的弱點，對另一個應用程式造成危害。http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 Cookie。
session_set_cookie_params(0, "/", ".example.com", true, true);
http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-site scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。/")。這會將 Cookie 揭露給同一個網域的所有 Web 應用程式。洩漏階段作業 Cookie 會造成帳戶洩漏，因為攻擊者可能使用網域中任一個應用程式的弱點來竊取階段作業 Cookie。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 Cookie。例如：
server.servlet.session.cookie.path=/
http://communitypages.example.com/EvilSite 建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當論壇使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的工作階段 Cookie 傳送到在 /EvilSite 執行的應用程式。透過使用使用者在 /MyForum 上提供的階段作業 Cookie，攻擊者可對瀏覽到 /EvilSite 的任何論壇使用者帳戶造成危害。/")。這會將 Cookie 揭露給同一個網域的所有 Web 應用程式。洩漏階段作業 Cookie 會造成帳戶洩漏，因為攻擊者可能使用網域中任一個應用程式的弱點來竊取階段作業 Cookie。http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定工作階段 Cookie。
session_set_cookie_params(0, "/", "communitypages.example.com", true, true);
http://communitypages.example.com/EvilSite 建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當論壇使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的工作階段 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取工作階段 Cookie，攻擊者便可危及瀏覽 /EvilSite 之論壇使用者的帳戶安全。SameSite 屬性未設定為 Strict。SameSite 參數會限制 Cookie 的範圍，所以只會在要求是從第一方或相同網站環境產生時，才會附加到要求。這有助於防範來自 Cross-Site Request Forgery (CSRF) 攻擊者的 Cookie。SameSite 參數可以有以下三個值：Strict 時，Cookie 僅與最上層導覽的要求一起傳送。Lax 時，Cookie 會與來自同一主機的最上層導覽以及從第三方網站發起到主機的 GET 要求一起傳送。例如，假設第三方網站使用 iframe 或 href 標籤來連結至主機網站。如果使用者點選連結，要求將會包含 Cookie。SameSite 參數設為 Lax。
...
Cookie cookie = new Cookie('name', 'Foo', path, -1, true, 'Lax');
...
SameSite 屬性未設定為 Strict。SameSite 屬性可防範來自 Cross-Site Request Forgery (CSRF) 等攻擊的 Cookie。階段作業 Cookie 代表網站的使用者，以便使用者可以執行授權的動作。但是，瀏覽器會自動隨要求傳送 Cookie，因此使用者和網站會間接信任瀏覽器來進行授權。攻擊者可以濫用這種信任，並藉由在攻擊者控制之第三方網站頁面中的 link 和 iframe 等標籤的 href 和 src 屬性中嵌入連結，來代表使用者向網站發出要求。如果攻擊者能將毫無戒心的使用者引誘到他們控制的第三方網站，則攻擊者便可發出要求來自動包含授權使用者的階段作業 Cookie，藉此有效地授權攻擊者，就好像他們是使用者一樣。SameSite 屬性的值設定為 Strict。這會限制瀏覽器僅將 Cookie 附加至最上層導覽或源自相同網站的要求。透過 iframe、img 和 form 等各種標籤中的連結，從第三方網站發起的要求沒有這些 Cookie，因此會阻止網站採取使用者可能未授權的動作。SameSite 屬性設定為 Lax。
...
CookieOptions opt = new CookieOptions()
{
SameSite = SameSiteMode.Lax;
};
context.Response.Cookies.Append("name", "Foo", opt);
...
SameSite 屬性未設定為 SameSiteStrictMode。SameSite 屬性可防範來自 Cross-Site Request Forgery (CSRF) 等攻擊的 Cookie。階段作業 Cookie 代表網站的使用者，以便使用者可以執行授權的動作。但是，瀏覽器會自動隨要求傳送 Cookie，因此使用者和網站會間接信任瀏覽器來進行授權。攻擊者可以濫用這種信任，並藉由在攻擊者控制之第三方網站頁面中的 link 和 iframe 等標籤的 href 和 src 屬性中嵌入連結，來代表使用者向網站發出要求。如果攻擊者能將毫無戒心的使用者引誘到他們控制的第三方網站，則攻擊者便可發出要求來自動包含授權使用者的階段作業 Cookie，藉此有效地授權攻擊者，就好像他們是使用者一樣。SameSiteStrictMode 的 SameSite 屬性，會限制瀏覽器僅將 Cookie 附加至最上層導覽或源自同一網站的要求。透過 iframe、img 和 form 等各種標籤中的連結，從第三方網站發起的要求沒有這些 Cookie，因此會阻止網站採取使用者可能未授權的動作。SameSite 屬性中針對工作階段 Cookie 啟用 SameSiteLaxMode。
c := &http.Cookie{
Name: "cookie",
Value: "samesite-lax",
SameSite: http.SameSiteLaxMode,
}
SameSite 屬性未設定為 Strict。SameSite 屬性可防範來自 Cross-Site Request Forgery (CSRF) 等攻擊的 Cookie。階段作業 Cookie 代表網站的使用者，以便使用者可以執行授權的動作。但是，瀏覽器會自動隨要求傳送 Cookie，因此使用者和網站會間接信任瀏覽器來進行授權。攻擊者可以濫用這種信任，並藉由在攻擊者控制之第三方網站頁面中的 link 和 iframe 等標籤的 href 和 src 屬性中嵌入連結，來代表使用者向網站發出要求。如果攻擊者能將毫無戒心的使用者引誘到他們控制的第三方網站，則攻擊者便可發出要求來自動包含授權使用者的階段作業 Cookie，藉此有效地授權攻擊者，就好像他們是使用者一樣。SameSite 屬性的值設定為 Strict。這會限制瀏覽器僅將 Cookie 附加至最上層導覽或源自相同網站的要求。透過 iframe、img 和 form 等各種標籤中的連結，從第三方網站發起的要求沒有這些 Cookie，因此會阻止網站採取使用者可能未授權的動作。SameSite 屬性設定為 Lax。
ResponseCookie cookie = ResponseCookie.from("myCookie", "myCookieValue")
...
.sameSite("Lax")
...
}
SameSite 屬性未設定為 Strict。SameSite 屬性可防範來自 Cross-Site Request Forgery (CSRF) 等攻擊的 Cookie。階段作業 Cookie 代表網站的使用者，以便使用者可以執行授權的動作。但是，瀏覽器會自動隨要求傳送 Cookie，因此使用者和網站會間接信任瀏覽器來進行授權。攻擊者可以濫用這種信任，並藉由在攻擊者控制之第三方網站頁面中的 link 和 iframe 等標籤的 href 和 src 屬性中嵌入連結，來代表使用者向網站發出要求。如果攻擊者能將毫無戒心的使用者引誘到他們控制的第三方網站，則攻擊者便可發出要求來自動包含授權使用者的階段作業 Cookie，藉此有效地授權攻擊者，就好像他們是使用者一樣。SameSite 屬性的值設定為 Strict。這會限制瀏覽器僅將 Cookie 附加至最上層導覽或源自相同網站的要求。透過 iframe、img 和 form 等各種標籤中的連結，從第三方網站發起的要求沒有這些 Cookie，因此會阻止網站採取使用者可能未授權的動作。SameSite 屬性設定為 Lax。
app.get('/', function (req, res) {
...
res.cookie('name', 'Foo', { sameSite: "Lax" });
...
}
SameSite 屬性未設定為 Strict。SameSite 屬性可防範來自 Cross-Site Request Forgery (CSRF) 等攻擊的 Cookie。階段作業 Cookie 代表網站的使用者，以便使用者可以執行授權的動作。但是，瀏覽器會自動隨要求傳送 Cookie，因此使用者和網站會間接信任瀏覽器來進行授權。攻擊者可以濫用這種信任，並藉由在攻擊者控制之第三方網站頁面中的 link 和 iframe 等標籤的 href 和 src 屬性中嵌入連結，來代表使用者向網站發出要求。如果攻擊者能將毫無戒心的使用者引誘到他們控制的第三方網站，則攻擊者便可發出要求來自動包含授權使用者的階段作業 Cookie，藉此有效地授權攻擊者，就好像他們是使用者一樣。Strict 的 SameSite 屬性，會限制瀏覽器僅將 Cookie 附加至最上層導覽或源自同一網站的要求。透過 iframe、img 和 form 等各種標籤中的連結，從第三方網站發起的要求沒有這些 Cookie，因此會阻止網站採取使用者可能未授權的動作。SameSite 屬性中啟用 Lax 模式。
ini_set("session.cookie_samesite", "Lax");
SameSite 屬性未設定為 Strict。SameSite 屬性可防範來自 Cross-Site Request Forgery (CSRF) 等攻擊的 Cookie。階段作業 Cookie 代表網站的使用者，以便使用者可以執行授權的動作。但是，瀏覽器會自動隨要求傳送 Cookie，因此使用者和網站會間接信任瀏覽器來進行授權。攻擊者可以濫用這種信任，並藉由在攻擊者控制之第三方網站頁面中的 link 和 iframe 等標籤的 href 和 src 屬性中嵌入連結，來代表使用者向網站發出要求。如果攻擊者能將毫無戒心的使用者引誘到他們控制的第三方網站，則攻擊者便可發出要求來自動包含授權使用者的階段作業 Cookie。這可以有效為攻擊者提供使用者授權的存取權限。SameSite 參數中，將階段作業 Cookie 設為 Strict，會限制瀏覽器僅將 Cookie 附加至最上層導覽或源自同一網站的要求。透過 iframe、img 和 form 等各種標籤中的連結，從第三方網站發起的要求沒有這些 Cookie，因此會阻止網站採取使用者可能未授權的動作。samesite 屬性中針對工作階段 Cookie 啟用 Lax。
response.set_cookie("cookie", value="samesite-lax", samesite="Lax")
...
Integer maxAge = 60*60*24*365*10;
Cookie cookie = new Cookie('emailCookie', emailCookie, path, maxAge, true, 'Strict');
...
HttpCookie cookie = new HttpCookie("emailCookie", email);
cookie.Expires = DateTime.Now.AddYears(10);;
Cookie cookie = new Cookie("emailCookie", email);
cookie.setMaxAge(60*60*24*365*10);
...
NSDictionary *cookieProperties = [NSDictionary dictionary];
...
[cookieProperties setValue:[[NSDate date] dateByAddingTimeInterval:(60*60*24*365*10)] forKey:NSHTTPCookieExpires];
...
NSHTTPCookie *cookie = [NSHTTPCookie cookieWithProperties:cookieProperties];
...
setcookie("emailCookie", $email, time()+60*60*24*365*10);
from django.http.response import HttpResponse
...
def view_method(request):
res = HttpResponse()
res.set_cookie("emailCookie", email, expires=time()+60*60*24*365*10, secure=True, httponly=True)
return res
...
Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, maxAge = Some(60*60*24*365*10)))
...
let properties = [
NSHTTPCookieDomain: "www.example.com",
NSHTTPCookiePath: "/service",
NSHTTPCookieName: "foo",
NSHTTPCookieValue: "bar",
NSHTTPCookieSecure: true,
NSHTTPCookieExpires : NSDate(timeIntervalSinceNow: (60*60*24*365*10))
]
let cookie : NSHTTPCookie? = NSHTTPCookie(properties:properties)
...