如何将我的PHP apps 中的cookie 设置为HttpOnly cookies？
【问题讨论】：
$cookie->setHttpOnly(true); 和github.com/delight-im/PHP-Cookie
标签： php security cookies xss httponly
对于 PHP 自己在 Apache 上的会话 cookie：
将此添加到您的 Apache 配置或 .htaccess
<IfModule php5_module>
php_flag session.cookie_httponly on
</IfModule>
这也可以在脚本中设置，只要在session_start()之前调用即可。
ini_set( 'session.cookie_httponly', 1 );
【讨论】：
php.ini。
php_value 更改为php_flag 不起作用。我刚刚在我的服务器上尝试过..
php_flag 时，您还必须更改值 - 为 on 或 off - 请参阅手册。
PHPSESSID，默认），见@richie's answer
setcookie() 和 setrawcookie() 函数在 PHP 5.2.0 的黑暗时代引入了布尔值 httponly 参数，使之变得简单易用。只需按照语法将第 7 个参数设置为 true
为了简洁而简化的函数语法
setcookie( $name, $value, $expire, $path, $domain, $secure, $httponly )
setrawcookie( $name, $value, $expire, $path, $domain, $secure, $httponly )
在 PHP NULL。
在 PHP >= 8 中，您可以从使用命名参数中受益。见this question about named params。
setcookie( $name, $value, httponly:true )
也可以使用旧的、较低级别的header() 函数：
header( "Set-Cookie: name=value; HttpOnly" );
您可能还需要考虑是否应该设置Secure 参数。
【讨论】：
set_cookie 调用不那么冗长。例如set_cookie($name, $value, httponly: true).
setcookie("name", "value", ['httponly' => true]);
请注意，PHP 会话 cookie 默认不使用 httponly。
这样做：
$sess_name = session_name();
if (session_start()) {
setcookie($sess_name, session_id(), null, '/', null, null, true);
}
这里有几点注意事项：
session_name()
之前session_start() 【讨论】：
请注意，HttpOnly 不会停止跨站点脚本；相反，它消除了一种可能的攻击，目前仅在 IE 上执行此操作（FireFox 在 XmlHttpRequest 中公开 HttpOnly cookie，而 Safari 根本不支持它）。无论如何，打开 HttpOnly，但不要放弃一个小时的输出过滤和模糊测试来换取它。
【讨论】：
<?php
//None HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, FALSE);
//HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);
?>
【讨论】：
可以在设置cookie函数see the php manual中指定
setcookie('Foo','Bar',0,'/', 'www.sample.com' , FALSE, TRUE);
【讨论】：
来自 Ilia 的解释... 5.2 仅限
httpOnly cookie flag support in PHP 5.2
如那篇文章所述，您可以在以前版本的 PHP 中自己设置标头
header("Set-Cookie: hidden=value; httpOnly");
【讨论】：
你可以在头文件中使用它。
// setup session enviroment
ini_set('session.cookie_httponly',1);
ini_set('session.use_only_cookies',1);
这样以后所有的会话 cookie 都将使用 httponly。
【讨论】：
php_flag 命令的正确语法是
php_flag session.cookie_httponly On
请注意，只需首先从服务器设置 cookie 并在此处回答（例如，您可以看到“HttpOnly”指令。因此，在每次测试请求后测试从浏览器中删除 cookie。
【讨论】：
自 PHP >=7.0 以来的更优雅的解决方案
session_start(['cookie_lifetime' => 43200,'cookie_secure' => true,'cookie_httponly' => true]);
【讨论】：
解决方案session_start(['cookie_lifetime' => 43200,'cookie_secure' => true,'cookie_httponly' => true]);
谢谢海因。
【讨论】：