httpOnly實現防止XSS時避免JavaScript讀取cookie

如果cookie設定了HttpOnly標誌，可以在發生XSS時避免JavaScript讀取cookie，這也是HttpOnly被引入的原因。

實現方式：

PHP中的設定

    1.在php.ini中

 session.cookie_httponly = true

 

    2.在程式中全域性設定：

 <?php

  ini_set("session.cookie_httponly", 1);

 // or

  session_set_cookie_params(0, NULL, NULL, NULL, TRUE);

 ?>

    3.Cookie操作函式setcookie函式和setrawcookie函式也專門新增了第7個引數來做為HttpOnly的選項，開啟方法為：

 setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);

 setrawcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);

 

    4.對於PHP5.1以前版本以及PHP4版本的話，則需要通過header函式來變通下了：

  header("Set-Cookie: hidden=value; httpOnly");

 

本文轉自 hgditren 51CTO部落格，原文連結：http://blog.51cto.com/phpme/1771572，如需轉載請自行聯絡原作者