當SSL已經設置時，HttpOnly是否必要？

如果我已經爲我的應用程序服務器設置了SSL，是否仍然需要爲Cookie設置HttpOnly？當SSL已經設置時，HttpOnly是否必要？

2011-12-23 ysp80

HttpOnly旨在防止XSS攻擊。它與SSL無關。 – 2011-12-23 03:11:19

@Marc B htt **ly **不**防止xss攻擊，不要傳播。 XSS仍然是非常可以利用的，看看sammy蠕蟲。 – rook 2011-12-23 17:31:20

是的。這兩個標誌無關彼此（均是安全/隱私選項，雖然）

例如，您仍然可以在HTTPS頁面上使用XSS（然後邪惡的腳本可能會吃掉您的cookie）。

2011-12-23 03:17:02 Thilo

據我所知，這裏竊取cookie的目的是爲了會話劫持。如果啓用SSL，會話劫持是不可能的？（我在這裏糾正？） – ysp80 2011-12-23 03:24:58

有了XSS，你可以讓惡意的Javascript讀取會話cookie。然後，您可以將其發送到其他服務器（例如，通過在URL中創建帶有cookie值的隱藏圖像標記）並劫持會話。 – Thilo 2011-12-23 03:26:28

但SSL是否已啓用時是否可以劫持會話？ – ysp80 2011-12-23 03:31:34

回答