django - SESSION_COOKIE_HTTPONLY = True 在 Django : 中不起作用

Question

我在我的 settings.py 中设置了以下代码:

SESSION_COOKIE_HTTPONLY = True

即使 docs说这是默认值。

然后我使用 ./manage.py runserver 并在站点上运行 OWASP Zap 扫描程序。但是 OWASP zap 说 cookie 是在没有 HttpOnly 标志的情况下设置的:

当我使用 gunicorn 和 nginx 服务器时，我也遇到了这个问题。我怎样才能设置这个标志？

使用django 1.8； accounts/login 页面由 django-registration-redux 管理，如果相关的话。

Answer 1

您在屏幕截图中突出显示的 cookie 不是 session cookie，而是 csrf cookie。有一个单独的设置CSRF_COOKIE_HTTPONLY对于这个 cookie。与SESSION_COOKIE_HTTPONLY不同，CSRF_COOKIE_HTTPONLY默认为False，所以需要在设置中添加。

CSRF_COOKIE_HTTPONLY = True

请注意，将 csrf cookie 设置为 http only 会使执行 ajax post 请求变得更加棘手。您的 javascript 将不得不从页面中提取 csrf token ，而不是使用 cookie。