आगामी ASP.NET और ASP.NET Core में समान कुकी परिवर्तन

सेमसाइट एक 2016 HTTP कुकी एक्सटेंशन है जिसे क्रॉस-साइट अनुरोध जालसाजी (सीएसआरएफ) को रोकने के लिए डिज़ाइन किया गया है। प्रारंभ में, इसका डिज़ाइन एक अतिरिक्त विशेषता थी जिसका उपयोग कुकीज़ में एक नई समान संपत्ति जोड़कर किया जा सकता है। इसके दो अर्थ थे, लैक और स्ट्रिक्ट।

लक्ष्मण मान सेट करते समय, यह समझा जाता है कि कुकीज़ को एक साइट पर सर्फिंग करते समय या अन्य साइटों से अपनी साइट पर जीईटी सर्फिंग के माध्यम से भेजा जाना चाहिए। केवल एक साइट से आने वाले अनुरोधों के लिए सख्त मूल्य सीमित कुकीज़। किसी भी संपत्ति को स्थापित करने की कमी कुकीज़ पर कोई प्रतिबंध नहीं लगा सकती है कि कैसे अनुरोधों में काम कर सकते हैं। OpenIdConnect ऑथेंटिकेशन ऑपरेशंस (जैसे, लॉग इन करना, लॉग आउट करना) और अन्य फ़ंक्शंस जो किसी बाहरी साइट से POST के अनुरोध को साइट पर भेजते हैं, जो ऑपरेशन का अनुरोध करते हैं, कुकीज़ को सहसंबंधित करने और / या CSRF की सुरक्षा करने के लिए कुकीज़ का उपयोग कर सकते हैं। इन कार्रवाइयों को एक सम्पत्ति की स्थापना के बिना सेमसाइट को अस्वीकार करना होगा ताकि यह सुनिश्चित किया जा सके कि इन कुकीज़ को उनके विशेष अनुरोध प्रवाह के दौरान भेजा जाएगा।

Google वर्तमान में मानक को अपडेट कर रहा है और क्रोम के भविष्य के संस्करण में प्रस्तावित परिवर्तनों को पेश कर रहा है। यह परिवर्तन उसी समान "कोई नहीं" मूल्य जोड़ता है और डिफ़ॉल्ट व्यवहार को "लक्ष" में बदल देता है। यह OpenIdConnect लॉगिन और संभवतः अन्य सुविधाओं को तोड़ता है जो आपकी वेबसाइट पर बन सकती हैं। इन सुविधाओं के लिए कुकीज़ का उपयोग करने की आवश्यकता होगी जिनकी समान संपत्ति किसी के लिए भी निर्धारित नहीं है।

हालाँकि, ऐसे ब्राउज़र जो मूल मानक का पालन करते हैं और नए मूल्य के बारे में नहीं जानते हैं, नए मानक का उपयोग करने वाले ब्राउज़र की तुलना में अलग व्यवहार करते हैं। इसका मतलब यह है कि आपकी .NET वेबसाइट को अब यह सुनिश्चित करने के लिए उपयोगकर्ता एजेंट को जोड़ने की आवश्यकता होगी कि क्या कोई नया मूल्य नहीं भेजना है या सभी को एक विशेषता नहीं भेजना है।



.NET को Google के नए मूल्य की शुरूआत के अनुकूल बनाने के लिए .NET 4.7.2 और .NET कोर 2.1 में समसैट विशेषता के व्यवहार को बदलने के लिए और बाद में अपडेट प्राप्त होगा। .NET फ्रेमवर्क के लिए अद्यतन 19 नवंबर को Microsoft अद्यतन और WSUS के माध्यम से एक अतिरिक्त अपडेट के रूप में उपलब्ध होगा यदि आप चेक फॉर अपडेट्स सुविधा का उपयोग करते हैं। 10 दिसंबर को, अपडेट सार्वजनिक रूप से उपलब्ध हो जाएगा और Microsoft अद्यतन केंद्र में दिखाई देगा। .NET कोर अपडेट नवंबर में .NET कोर 3.1 के रिलीज के साथ उपलब्ध होगा, जो पूर्वावलोकन 1 से शुरू होगा।

.NET Core 3.1 में एक अद्यतन एनुम परिभाषा , SameSite.Unspecified शामिल होगी, जो समान संपत्ति सेट नहीं करेगी।

Microsoft.Owin v4.1 और .NET कोर के लिए OpenIdConnect मिडलवेयर को .NET फ्रेमवर्क और .NET के अपडेट के साथ-साथ अपडेट किया जाएगा, हालाँकि हम फ्रेमवर्क में उपयोगकर्ता एजेंट सूँघने का कोड नहीं जोड़ सकते हैं, इसे आपकी साइट के कोड में लागू किया जाना चाहिए। एजेंट सूँघने का कार्यान्वयन इस बात पर निर्भर करेगा कि आप ASP.NET या ASP.NET Core के किस संस्करण का उपयोग कर रहे हैं और किन ब्राउज़रों का समर्थन करना चाहते हैं।

ASP.NET 4.7.2 के लिए Microsoft.Owin के साथ 4.1.0 एजेंट सूँघने को ICookieManager का उपयोग करके कार्यान्वित किया जा सकता है;

public class SameSiteCookieManager : ICookieManager { private readonly ICookieManager _innerManager; public SameSiteCookieManager() : this(new CookieManager()) { } public SameSiteCookieManager(ICookieManager innerManager) { _innerManager = innerManager; } public void AppendResponseCookie(IOwinContext context, string key, string value, CookieOptions options) { CheckSameSite(context, options); _innerManager.AppendResponseCookie(context, key, value, options); } public void DeleteCookie(IOwinContext context, string key, CookieOptions options) { CheckSameSite(context, options); _innerManager.DeleteCookie(context, key, options); } public string GetRequestCookie(IOwinContext context, string key) { return _innerManager.GetRequestCookie(context, key); } private void CheckSameSite(IOwinContext context, CookieOptions options) { if (DisallowsSameSiteNone(context) && options.SameSite == SameSiteMode.None) { options.SameSite = null; } } public static bool DisallowsSameSiteNone(IOwinContext context) { // TODO:    User Agent . var userAgent = context.Request.Headers["User-Agent"]; return userAgent.Contains("BrokenUserAgent") || userAgent.Contains("BrokenUserAgent2") } } 

और फिर नए कुकी प्रबंधक का उपयोग करने के लिए OpenIdConnect सेटिंग्स कॉन्फ़िगर करें;

 app.UseOpenIdConnectAuthentication( new OpenIdConnectAuthenticationOptions { // …    … CookieManager = new SameSiteCookieManager(new SystemWebCookieManager()) }); 

SystemWebCookieManager को ठीक से काम करने के लिए, आपको तय समसैट .NET 4.7.2 या बाद के संस्करण को स्थापित करने की आवश्यकता होगी।

ASP.NET Core के लिए, आपको पैच इंस्टॉल करना होगा और फिर कुकी पॉलिसी में एजेंट सूँघने वाले कोड को इंजेक्ट करना होगा। 3.1 से पहले के संस्करणों के लिए, SameSiteMode.Unspecified (SameSiteMode) (- 1) से प्रतिस्थापित करें।

 private void CheckSameSite(HttpContext httpContext, CookieOptions options) { if (options.SameSite > SameSiteMode.Unspecified) { var userAgent = httpContext.Request.Headers["User-Agent"].ToString(); // TODO:    User Agent . if (/* UserAgent doesn't support new behavior */) { //  .NET Core < 3.1  SameSite = -1 options.SameSite = SameSiteMode.Unspecified; } } } public void ConfigureServices(IServiceCollection services) { services.Configure<CookiePolicyOptions>(options => { options.MinimumSameSitePolicy = SameSiteMode.Unspecified; options.OnAppendCookie = cookieContext => CheckSameSite(cookieContext.Context, cookieContext.CookieOptions); options.OnDeleteCookie = cookieContext => CheckSameSite(cookieContext.Context, cookieContext.CookieOptions); }); } public void Configure(IApplicationBuilder app) { app.UseCookiePolicy(); // Before UseAuthentication or anything else that writes cookies. app.UseAuthentication(); // … } 

Azure सक्रिय निर्देशिका टीम के साथ परीक्षण करते समय, हमने पाया कि निम्नलिखित चेक सभी सामान्य उपयोगकर्ता एजेंटों के लिए काम करते हैं, जो Azure सक्रिय निर्देशिका के अनुसार, नए मान को नहीं समझते हैं।

 public static bool DisallowsSameSiteNone(string userAgent) {    //      iOS.   :    // - Safari  iOS 12  iPhone, iPod Touch, iPad    // - WkWebview  iOS 12  iPhone, iPod Touch, iPad    // - Chrome  iOS 12  iPhone, iPod Touch, iPad    if (userAgent.Contains("CPU iPhone OS 12") || userAgent.Contains("iPad; CPU OS 12"))    {        return true;    }    //     Mac OS X.   :    // - Safari  Mac OS X.    //  :    // - Chrome  Mac OS X    //        Mac OS.    if (userAgent.Contains("Macintosh; Intel Mac OS X 10_14") && userAgent.Contains("Version/") && userAgent.Contains("Safari"))    {        return true;    }    //    Chrome 50-69,      SameSite=None.    if (userAgent.Contains("Chrome/5") || userAgent.Contains("Chrome/6"))    {        return true;    }    return false; } 

ब्राउज़रों की यह सूची किसी ऐसे माध्यम से नहीं है जिस पर आप पूरी तरह से भरोसा कर सकते हैं, और आपको यह जांचना चाहिए कि नियमित ब्राउज़र और आपके सिस्टम द्वारा समर्थित अन्य उपयोगकर्ता एजेंट अपडेट स्थापित होने के बाद ठीक से व्यवहार करते हैं।

क्रोम 80 फरवरी या मार्च 2020 में नए व्यवहार के लिए संक्रमण के कारण है । यदि आप नए व्यवहार की जांच करना चाहते हैं, तो क्रोमियम के पुराने संस्करण डाउनलोड के लिए उपलब्ध हैं ।

यदि आप अपने फ्रेमवर्क संस्करण को उस समय तक अपग्रेड नहीं कर सकते हैं, जब क्रोम 2020 के प्रारंभ में नए व्यवहार को सक्षम करता है, तो आप OpenIdConnect स्ट्रीम को एक कोड स्ट्रीम में बदलने में सक्षम हो सकते हैं, और ASP.NET और ASP.NET कोर द्वारा उपयोग की जाने वाली स्ट्रीम में नहीं। लेकिन इसे अस्थायी उपाय के रूप में देखा जाना चाहिए।

• ASP.NET MVC और Microsoft.Owin का समर्थन करने के लिए, आप https://github.com/aspnet/AspNetKatana पर Katana GitHub रिपॉजिटरी का उपयोग कर सकते हैं।
• ASP.NET Core को सपोर्ट करने के लिए, आप https://github.com/aspnet/AspNetCore पर ASP.NET Core GitHub रिपॉजिटरी का उपयोग कर सकते हैं।
• .NET फ्रेमवर्क समर्थन की जानकारी के लिए, https://dotnet.microsoft.com/platform/support/policy/dotnet-framework देखें

हम दृढ़ता से अनुशंसा करते हैं कि आप .NET फ्रेमवर्क और .NET कोर के अद्यतन संस्करण डाउनलोड करते हैं जब वे नवंबर में उपलब्ध हो जाते हैं और क्रोम में परिवर्तन किए जाने से पहले अपडेट की योजना बनाना शुरू करते हैं।