javascript - 让用户通过 javascript 访问 cookie 是一个安全问题吗

Question

我想知道允许站点用户从控制台使用 javascript 访问和修改 cookie 是否存在安全问题？允许用户拥有此功能会造成什么危害？是否仅在某些情况下被视为安全问题，而在其他情况下则不被视为安全问题？另外，使用 HttpOnly cookie 是否会阻止用户修改 cookie？

Answer 1

您正在谈论两种不同的场景:

1. 允许 JavaScript 读取/修改 cookie
2. 如果 Cookie 被标记为 HttpOnly，用户是否可以修改 Cookie

1) 允许 JavaScript 读取/修改 cookie。

您通常不希望 JavaScript 能够访问 cookie(读取或写入)的原因是大多数站点使用 cookie 来处理站点身份验证。攻击者通常会创建 Cross-Site Scripting (XSS) 漏洞利用。在网站上，并使用它来读取身份验证 cookie 的值并将其发送到攻击者控制的服务器。

当攻击者拥有 session cookie 时，攻击者有可能(取决于站点的安全性)将受害者身份验证 cookie 的值插入攻击者 session 中。然后当他们到达目标站点时，他们就会被视为受害者，并且可以做受害者能做的任何事情。

窃取cookie并不是XSS唯一可以做到的事情，要了解更多信息，请查看OWASPS - A3 Cross-Site Scripting write-up .

2) 如果 cookie 被标记为 HttpOnly，用户是否可以修改 cookie

是的。用户可以修改 cookie、html、css、JavaScript 以及其计算机上的任何内容。这就是为什么 secret 永远不应该存储在客户端的计算机上，并且来自客户端/用户计算机的任何值在被证明有效之前都需要被视为不可信。