一、HttpOnly的簡介
HttpOnly是Cookie中一個屬性，用于防止客戶端腳本通過document.cookie屬性訪問Cookie，有助于保護(hù)Cookie不被跨站腳本攻擊竊取或篡改。但是，HttpOnly的應(yīng)用仍存在局限性，一些瀏覽器可以阻止客戶端腳本對Cookie的讀操作，但允許寫操作；此外大多數(shù)瀏覽器仍允許通過XMLHTTP對象讀取HTTP響應(yīng)中的Set-Cookie頭。
二、使用方式
- 語法
Set-Cookie: <cookie-name>=<cookie-value>;HttpOnly
- 設(shè)置樣例
response.setHeader( "Set-Cookie" , "cookiename=httponlyTest;Path=/;Domain=domainvalue;Max-Age=seconds;HTTPOnly");
例如：
//設(shè)置cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; HttpOnly")
//設(shè)置多個cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; HttpOnly");
response.addHeader("Set-Cookie", "timeout=30; Path=/test; HttpOnly");
//設(shè)置https的cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; Secure; HttpOnly");
參見文章：https://blog.csdn.net/qq_38553333/article/details/80055521
三、HttpOnly的用途
防范跨站腳本攻擊，即XSS攻擊。在生成Cookie時使用HttpOnly標(biāo)志有助于減輕客戶端腳本訪問受保護(hù)Cookie的風(fēng)險。
在現(xiàn)在大部分的網(wǎng)站中都設(shè)置HttpOnly屬性，如下圖所示：
四、XSS攻擊概述
XSS攻擊通常指的是通過利用網(wǎng)頁開發(fā)時留下的漏洞，通過巧妙的方法注入惡意指令代碼到網(wǎng)頁，使用戶加載并執(zhí)行攻擊者惡意制造的網(wǎng)頁程序。這些惡意網(wǎng)頁程序通常是JavaScript，但實際上也可以包括Java、VBScript、ActiveX、Flash或者甚至是普通的HTML。攻擊成功后，攻擊者可能得到包括但不限于更高的權(quán)限（如執(zhí)行一些操作）、私密網(wǎng)頁內(nèi)容、會話和cookie等各種內(nèi)容。文章來源：http://www.zghlxwxcb.cn/news/detail-509734.html
跨站腳本攻擊（XSS），是最普遍的Web應(yīng)用安全漏洞。這類漏洞能夠使得攻擊者嵌入惡意腳本代碼到正常用戶會訪問到了頁面中，當(dāng)正常用戶訪問該頁面時，則可導(dǎo)致嵌入的惡意腳本代碼的執(zhí)行，從而達(dá)到惡意攻擊用戶的目的。文章來源地址http://www.zghlxwxcb.cn/news/detail-509734.html
到了這里，關(guān)于Cookie中HttpOnly的使用方式以及用途的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
