客户端需要 Cookies 值，Httponly 属性为 true

Question

我们在 web.xml 文件中设置参数httpOnly true 以防止在客户端创建 cookie。 这导致读取 cookie 值。我们使用以下方式读取 GWT 中的 JSESSIONID cookie。

Cookie.getCookie("JSESSIONID");

这返回未定义。如果我在 web.xml 中删除属性 Httponly=true，它工作正常并返回一个 cookie。

任何人都可以建议一种方法来获取带有 HttpOnly true 的 cookie JSESSIONID cookie。

Answer 1

HttpOnly 不是你想的那样。它的唯一目的是告诉浏览器明确不将 cookie 公开给脚本，并且只在 HTTP 级别使用它。

没有什么可以阻止客户端伪造 cookie。有几种方法可以通过所谓的 session fixation 攻击来防止跨站点请求伪造 (CSRF)，但 HttpOnly 不是其中之一。 HttpOnly 有助于跨站点脚本 (XSS)，因此如果页面包含恶意的第 3 方脚本，它无法读取 cookie 以将其发送到第 3 方服务器 - 可能稍后将其用于 session fixation 攻击，但只有当您的网站容易受到攻击时才有可能——。