多个服务的安全Httponly cookie
是一种用于增强Web应用程序安全性的技术。Httponly cookie是一种特殊类型的HTTP cookie，它的特点是只能通过HTTP协议进行传输，而无法通过JavaScript等客户端脚本语言访问。这种限制可以有效防止跨站脚本攻击（XSS）。
Httponly cookie的分类：
- 会话cookie（Session Cookie）：这种cookie在用户关闭浏览器后会自动删除，用于存储用户会话信息，如登录状态、购物车内容等。
- 持久cookie（Persistent Cookie）：这种cookie在用户关闭浏览器后仍然保留，可以设置过期时间，用于存储用户偏好设置、记住登录状态等。
Httponly cookie的优势：
- 防止XSS攻击：由于Httponly cookie无法通过JavaScript访问，攻击者无法通过注入恶意脚本来窃取cookie中的敏感信息。
- 增强会话安全性：通过将会话cookie设置为Httponly，可以有效减少会话劫持和会话固定攻击的风险。
Httponly cookie的应用场景：
- 用户身份验证：在用户登录后，将包含用户身份信息的会话cookie设置为Httponly，以确保用户身份信息的安全性。
- 敏感操作授权：在进行敏感操作（如修改密码、支付等）时，可以使用Httponly cookie来验证用户的授权状态，防止未经授权的访问。
腾讯云相关产品和产品介绍链接地址： 腾讯云提供了一系列与Web应用程序安全相关的产品和服务，包括Web应用防火墙（WAF）、云安全中心等。这些产品可以帮助用户保护Web应用程序免受各种网络攻击的威胁。
- 腾讯云Web应用防火墙（WAF）：提供全面的Web应用程序安全防护，包括防护DDoS攻击、SQL注入、XSS攻击等。详情请参考：腾讯云Web应用防火墙（WAF）
- 腾讯云云安全中心：提供全面的云安全管理和威胁检测服务，包括安全态势感知、漏洞扫描、日志审计等功能。详情请参考：腾讯云云安全中心
请注意，以上提到的腾讯云产品仅作为示例，实际选择产品时应根据具体需求进行评估和选择。
相关·内容
我有一个关于在Qooxdoo中使用Cookie的问题。目前我的企业应用使用qooxdoo作为客户端，我们使用Cookie来存储服务器发来的本地化信息。我们有一个关于HttpOnly和安全标志的易受攻击的报告，所以我们启用了from服务器。结果，cookie对客户端隐藏了，我们使用了qx.bom.Cookie.get()，但是这个函数已经不起作用了，因为cookie现在隐藏了。那么，我的问题是，当服务器将HttpOnly和安全标志设置为True时，是否可以获取cookie？如果是的话，能不能请您指点一下？提前谢谢。
谢谢
Khoa Tran
浏览 3提问于2018-07-19得票数 0
每次使用登录或登录到我的网站时，我都会在浏览器中设置一个httpOnly cookie。cookie包含刷新令牌，用于获取新的访问令牌。但问题是，默认情况下，在任何请求中都不会将刷新令牌发送到服务器。我只想知道如何将httpOnly cookie与每个请求一起发送到服务器。我正在使用MERN堆栈。
浏览 24提问于2022-07-17得票数 1
我已经使用js库在前端生成和设置了cookie本身(React )，这个库一直运行良好，直到我将它与httpOnly设置为false一起使用。现在，我的条件被设置为httpOnly为true，但我无法实现这一点，因为我在互联网上发现，如果我们用httpOnly = true设置cookie，那么我将无法使用javascript (即)获得cookie。这只是httpOnly cookie的一个特性。
我搜索并找到了一个名为“react”的相关库，但是有了这个库，我也不知道我的javascript如何才能得到这个cookie。还发现，我们可以在实际的处理服务器之间使用快递服务器作为中间件，我们可
浏览 9提问于2020-08-25得票数 0
1回答
我有两个微型服务。一种是为了身份。我正在尝试设置auth cookie，我有一个中间件：
app.UseCookiePolicy(new CookiePolicyOptions
{
MinimumSameSitePolicy = SameSiteMode.None,
Secure = CookieSecurePolicy.None,
HttpOnly = Microsoft.AspNetCore.CookiePolicy.HttpOnlyPolicy.None
});
还有这项服务：
services.AddAuthentication(CookieAuthentic
浏览 3提问于2022-02-22得票数 0
回答已采纳
1回答
我正在我的web应用程序中实现CSRF保护。
我使用org.springframework.security.web.csrf.CookieCsrfTokenRepository类生成XSRF令牌。此令牌将作为cookie发送到每个请求的响应中。
UI组件是部署在不同服务器上的单个页面应用程序，它读取此cookie并从cookie读取XSRF令牌，并在所有后续请求中将其设置为标头。
Spring验证接收到的XSRF令牌，并允许/拒绝请求。这个很好用。
但是它们是一个约束，这个XSRF必须是httpOnly是false，这样客户端JavaScript就可以读取它。
我们无法读取httpOnly为
浏览 0提问于2019-04-18得票数 0
回答已采纳
2回答
我正在尝试将像这样运行在"api.mydomain.com“的后端服务器上的cookie设置为在"mydomain.com”下运行的前端。
res.cookie('auth', token, {
domain: 'mydomain.com',
httpOnly: true,
signed: true,
secure: true,
sameSite:'none',
});
res.json({
//response object
});
在请求的响应头中，"Set- cookie“头部是可见的
浏览 5提问于2022-05-06得票数 0
应用程序部署在AWS上，并在端口80上提供服务，ELB将该端口转发到443。Spring安全用于创建设置了安全标志的cookie的会话。当我点击应用程序主机名时，我可以看到设置了安全标志，如下所示。
curl -I target_hostname
Set-Cookie: JSESSIONID=XXXXXXXX；Path=/；Secure；HttpOnly
但是当我直接点击EC2 IP (使用curl)时，我可以看到安全标志没有设置。
curl -I target_ec2_ip
设置Cookie: JSESSIONID=XXXXXXXX；Path=/；HttpOnly
为什么会发生这种情况，有人
浏览 107提问于2019-03-15得票数 0
1回答
如何正确地过期饼干？
、、、
我们有一个web服务，用户可以登录和退出。cookie用于确定用户是否已登录。
该服务公开多个“站点”，每个站点由子域标识。例如：
http://customer1.ourservice.com/
http://customer2.ourservice.com/
有两种登录方式，一种是“服务范围”，一种是“特定站点”。
请求中的“服务范围”签名被发送到一个特殊的子域(http://globalauth.ourservice.com/)。这种请求中的签名会产生一个Set-Cookie头，如下所示：
Set-Cookie: OUR-COOKIE=<<cookie-val
浏览 4提问于2016-05-03得票数 0
回答已采纳
我正在尝试使用angular来设置cookie的参数。我可以设置过期日期和安全参数，但不能设置HttpOnly参数。我已经使用angular cookie服务设置了'Expires‘和'Security’，即"cookie.service.d.ts“，使用下面的方法
set(name: string, value: string, expires?: number | Date, path?: string, domain?: string, secure?: boolean, sameSite?: 'Lax' | 'Strict'):
浏览 1提问于2020-01-06得票数 4
回答已采纳
1回答
我有一个移动网站，作为我的安全措施的一部分，我希望用户“注册”他们的设备，这样我就可以限制用户可以访问该网站的设备的数量。我的想法是，对于一个“新”设备，将它们置于一个双因素身份验证过程中，并将一个服务器发送的GUID存储在一个httpOnly cookie (通过SSL)中，该cookie将保存GUID。当用户来到站点并使用他们的用户名和密码登录时，服务器将将该cookie与他们在数据库中的用户记录进行比较，如果匹配，让他们登录。
所以我的问题是:这是httpOnly cookie的有效/安全使用吗？我所描述的“设备注册”的方法有意义吗？
谢谢!
浏览 0提问于2013-08-25得票数 0
回答已采纳
每次对我们的网站进行PCI扫描后，我必须进入扫描结果，并为"Cookie不使用安全属性“这个问题添加一个争议，这是一个PCI失败的条件，用于Google翻译cookie。有没有办法为Google翻译cookie设置这个属性？我已经在网上搜索过了，但到目前为止，除了Chrome 78的一个老GitHub问题之外，我没有发现其他任何东西，其中一张海报提到谷歌翻译，但只说它经历了与其他海报相同的问题。
服务器是Windows Server 2016上的IIS 10。
这是我尝试过的。我将以下内容放入web.config中，但传出的cookie仍然没有安全属性。
<outboundRul
浏览 2提问于2021-06-14得票数 0
回答已采纳
1回答
在用Qualys扫描Drupal 7站点时，我们得到了问题
150122 Cookie不包含“安全”属性
是否有一种方法系统地将安全vs HTTPOnly标志添加到cookie中？安全Cookie数据会提供这个服务吗？如果是的话，我如何测试饼干是否安全？
此外，该站点自动转发到https。用户不用花时间在端口80上，而是直接传送到443。我们有一个管理员，他只想看到这个测试通过，不管之前的事实是什么。
问题中的饼干
：
has_js=1
📷
settings.php中的以下内容是否足够：
ini_set('session.cookie_secure', 1);
ini_set(
浏览 0提问于2016-03-15得票数 5
回答已采纳
1回答
在我的项目中，我使用nodeJS并做出反应。对于后端的会话，我使用的是httpOnly cookie。因此，当用户登录时，我们使用JWT令牌发送httpOnly cookie (httpOnly cookie包含JWT令牌)。现在使用这个httpOnly cookie，我正在检查后端端的身份验证。
现在，问题是如何管理会话(或进行身份验证检查)的反应方面？因为在这里，我们不能使用javascript访问httpOnly cookie。
例如：
user/dashboard的/login路由-> httpOnly cookie发送现在如何检查cookie中用户的真实性？
如果有人想办法解决
浏览 1提问于2020-07-14得票数 0
1回答
我想在启动浏览器之前，在shell中生成一个登录cookie，这样我就已经登录到某些网站了。目前，我正在使用下面的命令在我自己的nextcloud服务器上尝试这样做
curl --cookie test.txt --cookie-jar test.txt \
-d "user=***name***" \
-d "password=***password***" \
<my nextcloud server>/index.php/login
获取如下所示的cookie。但是，将它放在我的其他cookie中不允许我登录。
# Netscape HTTP
浏览 3提问于2020-11-06得票数 0
Bluemix生成一个目前不安全的VCAP_ID cookie (见下文)。有什么办法能让它安全吗？有什么不安全的理由吗？
Set-Cookie:VCAP_ID=redacted；路径=/；HttpOnly
与
Set-Cookie:VCAP_ID=redacted；路径=/；HttpOnly；安全
浏览 4提问于2015-07-08得票数 3
回答已采纳
我知道带有安全标志的cookie应该通过HTTPS连接传输。这也意味着应该保护这些cookie不受对手(私有cookie)的攻击。因此，在这种私有cookie上设置HttpOnly标志以防止XSS是很重要的。
带有安全标志但没有HttpOnly标志的私有cookie是否存在问题？
本质上，我认为HttpOnly标志应该添加到带有安全标志的cookie中。
浏览 0提问于2017-04-11得票数 22
回答已采纳
我是Nginx服务器的新手。最近开始了nginx项目。我的任务是通过nginx.conf文件设置安全头。我正确设置了一些标头，但无法设置Set-cookie。我的要求是，在响应头设置-Cookie应该有安全和HTTPOnly属性。在nginx.conf文件中添加了下面的两个指令
set_cookie_flag HttpOnly Secure;
proxy_cookie_path / "/; HTTPOnly; Secure";
尝试了每一个，也尝试了两个，但只有HttpOnly来了。请在下面查看我的conf文件片段
server {
listen 80;
浏览 5提问于2018-02-20得票数 9
在Nodejs中，代理服务器后面有安全cookie和HTTPOnly。HttpOnly标志和带有安全标志的Cookie如何将其标头发送到代理服务器？
我一直在阅读并假设我需要在我的代理服务器上启用X-Forward-Proto？
process.env.NODE_ENV = 'production';
if (app.get('env') === 'production') {
app.set('trust proxy', 1) // trust first proxy
}
app.use(session({
st
浏览 0提问于2018-05-22得票数 1
1回答
我正在努力使Symfony网站安全。我看了一下这个页面：
并将建议的修改应用于framework.yaml：
session:
handler_id: ~
cookie_secure: true
cookie_httponly: true
当我登录时，在“网络”选项卡中，我看到了三个Set-Cookie实例。第一个是cookie删除，具有安全和HttpOnly属性。第二个是cookie创建，其中cookie标识符具有安全和HttpOnly属性。第三种是以HTTP编码的方式设置一些参数，这个参数还具有安全和HttpOnly属性。到目前一切尚好。但是，当我转到任何页面时，请求头中
浏览 0提问于2019-08-24得票数 0
回答已采纳
我已经将Apache服务器配置为使用代理解析器(也使用反向代理)与tomcat通信，该解析器为Apache服务器而不是tomcat服务器启用了ssl。当我添加
Header set Set-Cookie HttpOnly;Secure
对于httpd.conf，我可以通过代理解析器向tomcat发送请求，但是从tomcat我不能向Apache发送请求。
我已经在tomcat和Apache服务器中启用了cookies。
在将cookies设置为httponly和secure之前，它可以正常工作。当将cookies设置为secure和httponly时，我可以从开发人员工具中看到，请求和响应
浏览 0提问于2014-01-11得票数 0
1回答
这就是我需要做的:删除所有会话cookie并销毁服务器上的会话。从浏览器中删除会话cookie。
<?php
session_start();
$name = session_name();
$expire = strtotime('-1 year');
$params = session_get_cookie_params();
$path = $params['path'];
$domain = $params['domain'];
$secure = $params['secure'];
$httponly = $pa
浏览 2提问于2016-03-03得票数 0
回答已采纳
在我们的应用程序中，我们使用J2EE会话变量进行会话管理。我们最近从ColdFusion 9迁移到了2018年的ColdFusion。迁移后，注销功能无法工作。我们发现，在ColdFusion 2018中，cookie JSESSIONID没有从浏览器中清除，因为HttpOnly标志在浏览器中被设置为true。
我们试图通过以下方式在浏览器中禁用此HttpOnly标志，
By disabling HttpOnly flag and Global Script Protection in CF admin.
By modifying the jvm.config via CF admin by
浏览 5提问于2020-01-10得票数 2
回答已采纳
1回答
ASP.NET和开放ID不起作用
、、、、
我已经尝试使用OpenID与Azure连接，而且我使用教程中的确切代码，没有任何运气。
我的创业：
public class Startup
{
string clientId = System.Configuration.ConfigurationManager.AppSettings["ClientId"];
string redirectUri = System.Configuration.ConfigurationManager.AppSettings["RedirectUri"];
static string tenant
浏览 2提问于2020-10-10得票数 3
1回答
在我的项目中，在某些地方，我需要通过javascript创建cookie。我试图编写一个非常解耦的进程，最终得到了一个symfony服务，如下所示：
<?php
namespace Evo\SecurityBundle\Service;
use Symfony\Component\HttpFoundation\Response;
class Cookie
{
/**
* @var
*/
protected $cookiesParams;
/**
* Constructor
*
* @param $cooki
浏览 1提问于2015-03-10得票数 1
由于漏洞工具的发现，我需要重写网站中的所有cookie，以获得HttpOnly、Secure和SameSite=lax。
示例cookies:
cookie1 = oiu3ou2o3u2o42uo2;
cookie2 = 0830413o4o1uo4uo1u;HttpOnly;
cookie3 = 040382048308108814081;HttpOnly;Secure;
cookie4 = 80jafjlajdflajfldjaljf;HttpOnly;Secure;SameSite=lax;
预期结果为响应头；
cookie1=oiu3ou2o3u2o42uo2;HttpOnly
浏览 6提问于2020-05-20得票数 2
在搜索启用了httpOnly的cookie的可能方法时，我找不到任何方法。但是话说回来，像Firebug，Add 'N Edit Cookie这样的浏览器插件是如何获取Cookie的呢?攻击者不能这样做吗？
所以我的问题是，使用javascript获取启用了httpOnly的请求的cookie真的真的是不可能的吗？
是的，我知道httpOnly不能阻止XSS攻击。我也知道这对嗅探者来说是徒劳的。让我们只关注javascript，sort alert(document.cookie)类型/ pre httpOnly时代。
浏览 3提问于2009-09-02得票数 3
回答已采纳
passport对象在我的会话对象上不存在。它在我的本地环境中按预期工作，但当我移动到aws上的生产服务器时，没有passport对象。会话成功地存储在我dynamoDB存储中，但是它没有出现在请求中。
下面是我对req.session对象的期望(以及我在本地环境中得到的结果)：
session:
Session {
cookie:
{ path: '/',
_expires: null,
originalMaxAge: null,
httpOnly: true },
passport:
浏览 15提问于2017-08-25得票数 2
我目前正在使用这个htaccess添加一个secure和HTTPonly
Header always edit Set-Cookie (.*) "$1; HTTPOnly; Secure"
但是因为这个域上的一个cookie已经有了这个标志，我怎么能只将它应用到那些没有它的cookie上呢？因为我没有对服务器的直接访问，所以需要通过.htaccess来完成
浏览 13提问于2017-10-03得票数 1
回答已采纳
我们将在下一个js应用程序中调用。
后端团队将响应cookie设置为安全HttpOnly cookie。
const session = await (
await fetch(
`https://demo.com/auth/session`,
requestOptions
)).json();
console.log("cookies",ctx?.req?.headers?.cookie);
后端cookie代码
Set-Cookie: id=a3fWa; Expires=Thu, 21 Oct 2021 07:28:00 GMT; Secur
浏览 9提问于2022-05-25得票数 0
我在机器上安装了xampp服务器。(PHPV5.3)我在上面放了一个网站。它是用php编写的。它使用cookie (PHPSESSIONID)。源代码是加密的。有没有办法知道这个网站的源代码中是否设置了HTTPOnly字段？问题是服务器覆盖了php.ini中HTTPOnly的值。
浏览 2提问于2013-09-20得票数 1
我有一个运行在Tomcat 7服务器上的web应用程序。在默认情况下，带有会话id的cookie具有标志HttpOnly和Secure。我想禁用JSESSIONID cookie的此标志。但这不管用。我已经在我的web.xml文件中更改了这一点，但是它不起作用。
<session-config>
<session-timeout>20160</session-timeout>
<cookie-config>
<http-only>false</http-only>
<s
浏览 5提问于2013-08-01得票数 28
1回答
会话与访问令牌+刷新令牌
、、、、
看起来有多个博客文章反对在浏览器中存储令牌(严格拒绝本地存储/sessionStorage/ in -memory变量)。建议的唯一方法是使用服务器端会话+ HTTPS + httpOnly cookie。那么，下面是否可以或多或少地被认为是推荐的方式？
为基于浏览器的客户端使用服务器端会话+ HTTPS + httpOnly + SameSite=Strict cookie(只是根本不支持旧浏览器)+只支持应用程序/基于json的POST/PUT请求
移动客户端使用访问令牌+刷新令牌+ PKCE
浏览 1提问于2022-01-09得票数 2
当我们将cookie HttpOnly属性设置为true时，服务器是将cookie限制在https之上，还是允许通过http和https进行连接？
浏览 2提问于2014-03-10得票数 0
回答已采纳
需要简单的回答:如果我把
session.cookie_httponly=On
session.cookie_secure=On
在我的网站的php.ini文件中，会自动将所有的php cookie转换为secure和httponly吗，或者我是否仍然需要在cookie本身的参数插槽6和7中输入true，true？
浏览 0提问于2014-09-11得票数 3
回答已采纳
1回答
存储Oauth访问令牌和刷新令牌
、、、、
我目前正在集成一些第三方api，他们在那里使用oauth，我的应用程序是mern堆栈。我目前只在后端实现了oauth流，下面是我的代码示例。
当用户单击要从客户端进行身份验证的按钮时，我将处理从服务器重定向的操作。
export const getAuthCode = async (req: Request, res: Response): Promise<void> => {
res.redirect(OAUTH_URL)
}
当第三方api重定向时，我解析代码并请求访问和刷新令牌。
export const getAccessAndRefreshToken = asy
浏览 0提问于2021-07-01得票数 0
回答已采纳
我遵循一个教程，在登录用户之后，后端向包含用户id的前端发送一个HTTPOnly cookie。但是，无法从前端访问HTTPOnly cookie(例如。document.cookie将无法读取cookie)。
我的问题是，如何使用这个cookie来检索用户数据？我的想法是，您将执行类似GET 'server_address'/ user /' id‘之类的操作，其中'id’将是存储在cookie中的用户id。但是这显然不能工作，因为前端不能访问cookie，因为它是HTTPOnly。我想到的一个可能的解决方法是，服务器在登录后在JSON响应中发送用户id，但是
浏览 0提问于2018-07-21得票数 3
回答已采纳
我试图在后端使用Django和DRF构建一个web应用程序，在前端使用ReactJs，我希望将它们分开(即避免服务器端呈现).For身份验证目的，我想使用JWT，并为此使用djangorestframework-jwt。我在几个地方读过，在本地存储JWT是不安全的，所以我尝试使用HttpOnly cookie。可以通过将django服务器配置为发送HttpOnly来实现这一点，方法是在项目JWT_AUTH = { 'JWT_AUTH_COOKIE': '<cookie name>', }的settings.py文件中覆盖drf包的下列默认设置，默认设
浏览 4提问于2021-03-21得票数 1
1回答
我正在尝试使用openidconnect来实现多个trying服务器之间的SSO。使用Keycloak作为openid提供程序和配置如下所示。
<webAppSecurity logoutOnHttpSessionExpire="true" ssoCookieName="LtpaToken2" />
<openidConnectClient id="RP" scope="openid" signatureAlgorithm="RS256"
clientId="liberty&#
浏览 4提问于2020-05-19得票数 0
回答已采纳
如果我已经为我的应用服务器设置了SSL，我还需要为cookie设置HttpOnly吗？
浏览 0提问于2011-12-23得票数 11
回答已采纳
我在一个常见的环境中工作，其中Apache http-Server位于LTPA Application Server7前面(运行WebSphere Portal Server7)，现在我正在尝试打开httpOnly和LTPA cookie的安全标志。
根据和，我在WAS7配置中添加了自定义属性com.ibm.ws.security.addHttpOnlyAttributeToCookies WAS7 true，并重新启动了服务器。结果是设置了httpOnly标志，而没有设置安全标志。
有没有人遇到同样的问题并找到了解决方案？
浏览 1提问于2013-02-28得票数 2
回答已采纳
1回答
我正在构建带有服务器端呈现的SPA应用程序，使用基于JWT的身份验证。
目前的执行情况是：
在成功验证用户名和密码之后，将发出JWT令牌并将其传输到客户端。
令牌随后存储在cookie (而不是HttpOnly)中，目的是避免在完全刷新或关闭页面后再次登录。
用令牌注销已删除的cookie
如果存在令牌，则将Authorization头附加到每个API请求中。
全SSL通信量
由于服务器端呈现，我无法在LocalStorage中存储令牌，也没有HttpOnly，因为我需要访问cookie来构造Authorization头。
在这种架构中窃取令牌的可能性是什么？
浏览 2提问于2016-11-13得票数 0
6回答
在客户端上存储刷新令牌的位置？
、、、、
我的SPA应用程序使用以下体系结构()：
这假设我的客户端应用程序知道刷新令牌，因为如果没有用户凭据(例如电子邮件/密码)，我需要它请求一个新的访问令牌。
我的问题是：在我的客户端应用程序中将刷新令牌存储在哪里？关于这个主题有很多问题/答案，但是关于刷新令牌的答案还不清楚。
访问令牌和刷新令牌不应该存储在本地/会话存储中，因为它们不是任何敏感数据的位置。因此，我会将访问令牌存储在httpOnly cookie中(即使存在CSRF)，而且我对资源服务器的大多数请求都需要它。
但是刷新令牌呢？我不能将它存储在cookie中，因为(1)它也将与每个请求一起发送到我的资源服务器，这使得它也容
浏览 2提问于2019-08-26得票数 102
回答已采纳
2回答
我的cookie设置为安全，但它作为本地主机工作。但是，在主机文件中设置域名后，chrome不会将cookie发送到服务器，从而导致请求失败。
我使用以下cookie集在本地主机上运行我的服务器，cookie将由chrome发送到我的服务器。
cookie := http.Cookie{Name: "XSRF-TOKEN", Value: csrf.Token(r), Expires: expiration, Path: "/", HttpOnly: false, Secure: true}
我已经在我的主机文件中设置了以下内容，并试图从chrome x.tes
浏览 5提问于2021-05-05得票数 0
在Servlet3.0兼容的应用服务器中，我可以通过将以下内容添加到web.xml来设置会话cookie (JSESSIONID)的HttpOnly和安全标志：
<session-config>
<cookie-config>
<secure>true</secure>
<http-only>true</http-only>
</cookie-config>
</session-config>
但是，我正在处理的应用程序将部署在Websphere 7中，这是Servlet2.
浏览 1提问于2012-02-08得票数 10
回答已采纳
3回答
、会话和HttpOnly
、、、
我想让我的会话cookie HttpOnly。基于，我将它添加到我的application.ini中
resources.session.cookie_httponly = true
不幸的是，当我查看中的会话cookie时，它没有像我指定的那样被标记为HttpOnly。我错过了哪一步？
浏览 5提问于2010-12-16得票数 10
回答已采纳
我有一个客户，他在IIS6.0下运行他的经典ASP站点。该网站的目标是ASP.NET configuration选项卡中的ASP.NET 2.0。最近对他的网站进行的PCI扫描显示，他的ASPSESSIONID cookie上存在HttpOnly漏洞。
我已经安装了一个ISAPI，它成功地在所有手动创建的cookie上设置了HttpOnly，但由于某些原因，ASPSESSIONID cookie不受此影响。
我已经用以下配置设置了web.config：
<system.web>
<httpCookies httpOnlyCookies="true" /
浏览 3提问于2012-11-27得票数 2
回答已采纳
2回答
为了保护我的cookie，我读到了关于HTTPOnly和ASP.NET_SessionId cookie的“安全”cookie标志的文章。我在VS中创建了新的asp.net项目。在检验员-> raw的小提琴里我有：
Cookie: DXCurrentThemeMVC=Office2010Black; ASP.NET_SessionId=1gq0t1mi234xyljqnxrzbqfx
然后修改web.config：
<system.web>
<compilation debug="true" targetFramework="4.0
浏览 3提问于2012-01-13得票数 9
回答已采纳
在我的ASP.NET MVC4应用程序中，我使用了第三方服务。该服务的使用条款之一是添加到所有会话cookie、HttpOnly和安全属性中。
WebSite托管在Windows Azure上，在SSL上工作。
我在根web.config中添加了以下设置：
<httpCookies httpOnlyCookies="true" requireSSL="true" lockItem="true"/>
<authentication mode="Forms">
<forms loginUrl=&
浏览 1提问于2013-07-20得票数 14
回答已采纳
目前，我已经在我的web应用程序上使用了登录功能，在我发出登录请求后，服务器会响应一个包含2个令牌的JSON对象： 这是登录函数： async function login() {
const data = {
"email": "user1@gmail.com",
"password": "testPassword123"
}
const response = await Backend.post('auth/login/', da
浏览 16提问于2020-10-29得票数 3
1回答
当与安全标志和httponly标志一起使用时，我需要了解httponly的格式。
通过查看Mozilla的解释，就会发现
套装-饼干: id=a3fWa；Expires=Wed，2015年10月21日，格林尼治时间07:28:00；安全；HttpOnly
如果我有多个cookie，它们是否需要多个set-cookie、secure和httponly标志？还是写过一次？请向我澄清。
浏览 0提问于2019-05-06得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
