xss - 了解 HTTPOnly 标志的预期行为

Question

我对 cookie 中的 HTTPOnly 属性有点困惑。我知道它的主要用途是防止 XSS 攻击。让我们假设有一个 Web 应用程序为 cookie 设置了 httponly。为此，我使用了 Fiddler 之类的拦截代理。但是在所有后续事务中，cookie 都没有附带 httponly 标志。这是一个像设置一次一样的功能，整个 session 都被 httponly 标志覆盖......或者这是一个实现缺陷。但是，当通过 cookie 管理器插件进行监控时，属性显示 httponly 已启用。我的问题是它是否启用了为什么 cookie 管理器显示它已启用但不是拦截代理，这是正常的预期行为还是错误的实现。请帮我理解。

Answer 1

HttpOnly 由服务器在 Set-Cookie header 中发送，以指示浏览器不要使 cookie 可用于 javascript。浏览器仍将通过 http 连接发送它。 Set-Cookie header 可以包含 cookie 的各种指令，例如它们何时过期、它们的域、路径、它们是否应该只通过 https(安全标志)和 HttpOnly 发送。这些都是从服务器到浏览器的指令，因此浏览器没有必要在每次请求时将它们发送回服务器。