javascript - 如何获取当前 session 的JSESSIONID

Question

我的父网页上有一个小工具。我想获取 JSESSION ID 以便通过 javascript 对当前 session 进行身份验证(我不想打开新 session )。 document.cookies 包含一个空字符串。另一方面，当查看浏览器的 cookie 存储时，我可以发现 JSESSION ID 为 HttpOnly。是否有可能以某种方式在 javascript 中得到这个？如果不是，您能解释一下原因吗？我在某处读到 jsession 是服务器端的东西，浏览器怎么可能看到它？

Answer 1

不，你无法获取它，这就是 HttpOnly 的全部意义。它告诉浏览器不应与脚本共享 cookie。

This is a security feature to help keep sensitive cookies from being stolen by malicious scripts in Cross-Site Scripting attacks .

如果您的小部件的脚本与网站位于同一域中，它将在发出请求时使用 cookie。