django_language cookie 上的安全失败

Question

我在我的网站上运行了 Pentest-Tools 安全审核，并收到“django_language”缺少标志“Secure, HttpOnly”的警告。我什至不确定这个 cookie 是什么或设置在哪里，但我想清除这些错误。

我在settings.py 文件中设置了以下内容，但没有影响

SESSION_COOKIE_SECURE = True

CSRF_COOKIE_SECURE = True

有没有办法在 Django 项目中设置这个？

Answer 1

您的警告是要求不允许 javascript 访问 CSRF cookie（客户端）试试这个。

CSRF_COOKIE_HTTPONLY = True

默认为假。结帐https://docs.djangoproject.com/en/1.11/ref/settings/#csrf-cookie-httponly 了解更多信息。