asp.net-mvc - 在 MVC 中，httpOnlyCookies 属性实际上做了什么？

Question

我对这个设置的实际作用感到困惑。

根据 MSDN，“获取或设置一个值，该值指示是否启用对浏览器的 HttpOnly cookie 的支持。”

但我很难理解这到底意味着什么。

我遇到的问题是，在我的 MVC 应用程序中， session cookie 没有与安全标志一起发送。我已将 RequireSSL="True" 属性放入 Web 配置的表单和 cookie 部分，但 session ID cookie 仍未在 SSL 下发送。我想知道这个其他属性是否与它有关。

Answer 1

如果您实现了 requireSSL="true"，您的 cookie 应该只通过 HTTPS 协议(protocol)传输。不需要更多的东西了。 HttpOnly 标志告诉浏览器，cookie 只能由服务器访问——而不是由任何客户端脚本访问。这可以防止现代浏览器中某些尊重此标志的 XSS 攻击(此时应该几乎全部)。