javascript - 使用设置了安全标志的 cookie 获取请求

Question

我已经保存了设置了安全标志的 session cookie。由于浏览器将随每个 XHR 发送 cookie，我可以看到正在发送的 cookie 没有设置 security=secure 标志。我如何确保在发送 XHR 时，cookie 也带有安全标志？ (即安全=安全)

Answer 1

I can see that the cookies which are being sent are not having the security=secure flag set

没错。 cookie 规范要求客户端仅发送 Cookie: header 中的 cookie 值，而不发送元数据(secure、domain 等)。这适用于所有 HTTP 请求、XHR 或其他方式。

这种设计的一个缺点是您无法从服务器端得知 cookie 最初设置的位置。 https://www.example.com/ 上的 cookie 实际上可能是从 http://www.example.com/ 设置的，但没有 安全标志。它也可能来自 http://other-subdomain.example.com/，将 domain 设置为 example.com。没有办法知道。

关于降低中间人攻击者使用与 http://www.example.com/ 的未 protected 连接将 cookie 注入(inject) 的可能性的所有措施>https://www.example.com/ 是专门使用https:。在 http 端口上重定向到 https: 并设置 HTTP Strict Transport Security header 以尝试阻止浏览器将来连接到 http: 地址。