node.js - 如何使用 nginx 设置 HttpOnly 响应 header ？

Question

我们使用 Node js 和 nginx 作为 Web 服务器。

我们希望通过减少使用 Cookie 的脚本执行来限制 XSS 攻击。

如何通过在 nginx 设置中添加 HttpOnly 标志来保护 Cookie？

Answer 1

从 Nginx 版本 1.19.3 开始，您可以使用 proxy_cookie_flags 为您的 cookie 添加其他标志。

对于所有 cookie 使用:

proxy_cookie_flags ~ secure Samesite=strict;

对于一些您可以使用的 cookie(或正则表达式):

proxy_cookie_flags 一个 httponly;

查看文档中的更多信息:https://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_cookie_flags