HttpOnly与cookie安全

在xss***中，有种方式便是身份伪造，***者通过恶意脚本获取用户的cookie信息，以此cookie信息伪造真实用户去访问用户的私密空间。

桥西网站建设公司成都创新互联,桥西网站设计制作，有大型网站制作公司丰富经验。已为桥西超过千家提供企业网站建设服务。企业网站搭建\外贸网站建设要多少钱，请找那个售后服务好的桥西做网站的公司定做！

在本片文章中，我们谈及httponly与cookied的安全问题。

httponly最早由微软提出，即浏览器禁止页面js访问带有HttpOnly属性的cookie。HttpOnly并不直接对抗XSS***，只是防止XSS***者窃取cookie。对于存放敏感信息的cookie，可以通过设置该属性来避免***者窃取cookie。

下面谈谈如何开启HttpOnly属性，其实在php.ini中我们开启就行,就像这样：

，或在会话中开启会话级别的HttpOnly属性：ini_set()。

关于其它的问题详见：http://netsecurity.51cto.com/art/201305/393775.htm

关于cookie的覆盖问题见：http://netsecurity.51cto.com/art/201404/435401.htm