iis-7 - 自定义 404 未在使用经典 ASP 和 IIS 7 的 cookie 上设置 HTTPONLY

Question

在使用自定义 404 页面时，我在让 IIS7 将我的所有会话 cookie 设为 HTTPONLY 时遇到问题。

这是我的网络配置：

<rewrite>
    <outboundRules>
        <rule name="Add HttpOnly" preCondition="No HttpOnly">
            <match serverVariable="RESPONSE_Set_Cookie" pattern=".*" negate="false" />
            <action type="Rewrite" value="{R:0}; HttpOnly" />
            <conditions>
            </conditions>
        </rule>
        <preConditions>
            <preCondition name="No HttpOnly">
                <add input="{RESPONSE_Set_Cookie}" pattern="." />
                <add input="{RESPONSE_Set_Cookie}" pattern="; HttpOnly" negate="true" />
            </preCondition>
        </preConditions>
    </outboundRules>
</rewrite>
<httpErrors>
    <remove statusCode="404" subStatusCode="-1" />
    <error statusCode="404" prefixLanguageFilePath="" path="/404.asp" responseMode="ExecuteURL" />
</httpErrors>

这使得我所有的 cookie 都只有 HTTP，除非有 404 响应。404 页面返回一个没有 HTTPONLY 的会话 cookie。

有什么建议么？