HttpOnly cookie 如何与 Javascript 和身份验证代理一起使用？

Question

我在 OIDC 反向代理后面有一个 Web 应用程序——换句话说，当我访问这个应用程序时，我被重定向到我的身份提供者，我登录并且我的浏览器设置了一个 cookie，该 cookie 用于后续请求以证明我已经登录了。

此 cookie 设置了 HttpOnly 标志，据我了解，这是防止恶意网站利用 XSS 漏洞的最佳做法。

但是，正如预期的那样，我的应用程序中的 Javascript 无法访问登录 cookie，因此在我的浏览器控制台中，我看到返回给应用程序的请求（尝试通过 HTTP 请求和 websocket 连接更新动态内容）被重定向到我的身份提供者（并被 CORS 政策阻止），因为他们无权访问登录 cookie。

• 这是否意味着这样的架构不能使用Javascript回调应用程序？
• 通常禁用 HTTPOnly 标志以允许 Javascript 在这种情况下工作吗？
• 我的理解是，来自不同来源的恶意网站尝试访问我的应用程序的 Javascript 无论如何都会被 CORS 阻止，所以保留 HTTPOnly 标志是否仅有助于抵御攻击者设法将 Javascript 注入我的应用程序的攻击？

Answer 1

这是否意味着这样的架构不能使用Javascript？

没有。这意味着JS无法从cookie中读取数据。

我看到返回给应用程序的请求（尝试通过 HTTP 请求和 websocket 连接更新动态内容）被重定向到我的身份提供者（并被 CORS 策略阻止），因为它们无权访问登录 cookie。

CORS 政策不应因为缺少 cookie 而阻止请求。

如果缺少 cookie，那可能是因为您 (a) 混淆了您的来源并且该来源没有 cookie，或者 (b) 您没有启用 credentials option跨域请求。

禁用 HTTPOnly 标志以允许 Javascript 工作是否常见？

没有。

我的理解是，来自不同来源的恶意网站尝试访问我的应用程序的 Javascript 无论如何都会被 CORS 阻止，因此保留 HTTPOnly 标志是否仅有助于抵御攻击者设法将 Javascript 注入我的应用程序的攻击？

是的。 XSS 攻击非常普遍，因此有许多工具可以缓解它们。这是其中之一。