在身份验证 Cookie 上强制执行 HttpOnly 标志

Last published : Oct 14, 2026
从 NetScaler Gateway 13.1-37.x 及更高版本开始，HttpOnly 标志可用于 VPN 场景的身份验证 Cookie，即 NSC_AAAC 和 NSC_TMAS Cookie。NSC_TMAS 身份验证 Cookie 在 nFactor 身份验证期间使用，NSC_AAAC Cookie 用于已验证的会话。Cookie 上的 HttpOnly 标志限制了使用 JavaScript 文档 Cookie 选项访问 Cookie。这有助于防止因跨站点脚本攻击而导致的 Cookie 窃取。
从适用于 Windows 的 Citrix Secure Access 24.8.1.x 和 NetScaler Gateway 14.1-34.x 开始，Citrix Secure Access 客户端的主页在 NetScaler Gateway 上启用 HttpOnly Cookie 后可成功启动。在以前的版本中，当启用 HttpOnly 功能时，Citrix Secure Access 客户端 UI 上的主页链接无法正常工作。
Related information
NetScaler Gateway 设备上的 VPN 配置

支持的场景

nFactor 身份验证支持 HTTPOnly 标志。
当 NetScaler AAA 参数的 HttpOnlyCookie 旋钮与流量管理 (TM) 会话的 HttpOnlyCookie 旋钮一起使用时的行为：
  • 当为身份验证、授权和审计启用 httpOnlyCookie 旋钮时，它会在 nFactor 身份验证期间覆盖流量管理会话的 HttpOnlyCookie 旋钮。此外，无论会话类型如何，NSC_TMAS 和 NSC_AAAC 都被标记为 HttpOnly。这适用于 VPN 会话、TM 会话或 nFactor 身份验证。
  • 如果 HttpOnlyCookie 旋钮被禁用，则不会为 VPN 会话设置 HttpOnly 标志。对于身份验证、授权和审计场景，HttpOnly 标志根据 TM 会话旋钮值设置。

使用 CLI 配置 HttpOnly 功能

  • 启用 HttpOnly 标志。
    set aaa parameter -httpOnlyCookie ENABLED
    注意：
    • 默认情况下，在以下 NetScaler Gateway 版本中启用 HttpOnly 标志：
      • 14.1-43.56 及更高版本
      • 13.1-59.19 及更高版本
    • 要禁用 HttpOnly 标志，请运行以下命令：
      set aaa parameter -httpOnlyCookie DISABLED
  • 检查 HttpOnly 功能的状态。
    show aaa parameter

限制

  • HttpOnly 标志未在任何经典身份验证中设置。