Session管理 --- Cookie httponly flag

安全威胁

Cookie http only，是设置 COOKIE 时，可以设置的一个属性，如果 COOKIE 没有设置 这个属性，该 COOKIE 值可以被页面脚本读取。

当攻击者发现一个 XSS 漏洞时，通常会写一段页面脚本，窃取用户的 COOKIE，为了 增加攻击者的门槛，防止出现因为 XSS 漏洞导致大面积用户 COOKIE 被盗，所以应该在 设置认证 COOKIE 时，增加这个属性

代码演示

response.setHeader("SET-COOKIE", "user=" + request.getParameter("cookie"));

解决方案

在设置cookie时，加入属性即可

response.setHeader("SET-COOKIE", "user=" + request.getParameter("cookie") + ";
HttpOnly");

虽然httponly已经可以防止用户cookie被窃取，还需是需要做XSS防御的

因为这个flag只能增加攻击者的难度，不能达到完全防御XSS攻击