web-services - 使用 HttpOnly cookie 注销

Question

我可以看到 HttpOnly cookies 是good for security ，但是它们使没有服务器交互的注销是不可能的，对吗？1 因此，当网络出现故障时，您无法注销并离开。我可以想象一个解决方法，但我想先问

处理这种情况有意义吗

有什么标准的解决方案吗？

1 假设您实际使用它们。

Answer 1

如果注销是指删除 session cookie，那么不，您不能从 Javascript 中删除 HttpOnly cookie。但是，很容易设置两个 cookie，一个是 HttpOnly，一个是不安全的，这样只有两者的组合才是有效的 session key 。删除任何一个 cookie 都会破坏 session 。

如果您的服务很敏感，那么处理所有现实威胁场景确实很有意义，而这个场景非常现实。

设置两个 cookie，其中之一是 HttpOnly，实际上在标准 CSRF 预防技术中很常见。我没有在您的特定场景中看到它，但它与反 CSRF 案例非常相似，并且看起来像是一般 twoo-cookies 想法的明显且简单的应用。