Должен ли сессионный cookie всегда быть HttpOnly? - PullRequest
2 голосов
/ 22 июля 2011

Должен ли файл cookie сеанса всегда быть HttpOnly?

Ответы [ 2 ]

3 голосов
/ 22 июля 2011

Существует очень мало причин, по которым JavaScript должен обращаться к сеансовому cookie.Единственный, с кем я столкнулся, - это тот, где Flash должен был иметь доступ к куки, потому что он должен был делать свои собственные запросы, которые были авторизованы через те же куки.И чтобы вспомнить куки, мне пришлось распечатать куки на странице (что сделало их доступными для JS).

Это все равно работало бы с установленным флагом HttpOnly (но этот флаг был бы избыточным).

Короче говоря, да, установите флаг.

1 голос
/ 22 июля 2011

Если вы когда-нибудь захотите получить к нему доступ только через HTTP (не JavaScript), тогда да.

Некоторые старые браузеры позволяли вам копировать заголовки через XHR для cookie. Я считаю, что это было исправлено в более новых версиях.

...