HttpOnly 与cookie安全

在xss攻击中,有种方式便是身份伪造,攻击者通过恶意脚本获取用户的cookie信息,以此cookie信息伪造真实用户去访问用户的私密空间。

在本片文章中,我们谈及httponly与cookied的安全问题。

httponly最早由微软提出,即浏览器禁止页面js访问带有HttpOnly属性的cookie。HttpOnly并不直接对抗XSS攻击,只是防止XSS攻击者窃取cookie。对于存放敏感信息的cookie,可以通过设置该属性来避免攻击者窃取cookie。

下面谈谈如何开启HttpOnly属性,其实在php.ini中我们开启就行,就像这样:

wKioL1c9b8-z1l2gAAAaKbUi5Ks383.png

,或在会话中开启会话级别的HttpOnly属性:ini_set()。


关于其它的问题详见:http://netsecurity.51cto.com/art/201305/393775.htm

关于cookie的覆盖问题见:http://netsecurity.51cto.com/art/201404/435401.htm




你可能感兴趣的:(http,cookie,only)