web.configタグを使用して、WSS3.0フォーム認証アプリケーションでhttpOnlyCookieを有効にしようとしました。Cenzic Hailstormセキュリティスキャンレポートは、フラグがオフの状態でCookieが生成されていると主張しています。これには、.ASPXAUTH Cookie、Discovery.asmxに関連するCookie、およびWSS_AccessibiltyFeatureに関連するCookieが含まれます。これが私の質問です：
- スキャンが間違っている可能性がある方法はありますか？
- クッキーがどのように作成されるかについて私が理解していないことがありますか？これらはhttpOnlyフラグから免除されますか？
- CookieがhttpOnlyとして出力されていることを確認する方法はありますか？Fiddler用のWatcherアドオンを知っていますが、それを機能させることができませんでした（開発者と連絡を取り合っています）。確かに、クッキーを調べることができる何か他のものがあります。