httpOnly實現防止XSS時避免JavaScript讀取cookie

若是cookie設置了HttpOnly標誌，能夠在發生XSS時避免JavaScript讀取cookie，這也是HttpOnly被引入的緣由。

實現方式：

PHP中的設置

    1.在php.ini中

 session.cookie_httponly = true

 

    2.在程序中全局設定：

 <?php
  ini_set("session.cookie_httponly", 1);

 // or
  session_set_cookie_params(0, NULL, NULL, NULL, TRUE);

 ?>

    3.Cookie操做函數setcookie函數和setrawcookie函數也專門添加了第7個參數來作爲HttpOnly的選項，開啓方法爲：

 setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);

 setrawcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);
 

    4.對於PHP5.1之前版本以及PHP4版本的話，則須要經過header函數來變通下了：

  header("Set-Cookie: hidden=value; httpOnly");