tomcat7和tomcat6中使用javaScript脚本语言读取名称为JSESSIONID的Cookie的区别(document .cookie)

最新推荐文章于 2020-01-03 14:25:50 发布

程宇寒

最新推荐文章于 2020-01-03 14:25:50 发布

阅读量615

点赞数

文章标签： tomcat7和tomcat6 javaScript脚本语言读取名称为JSESSIONID的Cookie Cookie session

本文链接：https://blog.csdn.net/czh500/article/details/80286986

版权

在tomcat7中，运行下面的代码，不会打出名称为JSESSIONID的Cookie信息，因为在tomcat7中，默认把名称为JSESSIONID的Cookie设置成了Cookie.setHttpOnly(true); 而javaScript脚本语言是无法读取HttpOnly=true的Cookie

而在tomcat6中运行下面的代码，是可以打出名称为JSESSIONID的Cookie信息，原因在于tomcat6中，默认把名称为JSESSIONID的Cookie设置成了Cookie.setHttpOnly(false); 所以javaScript脚本语言读取到了该Cookie

<script type="text/javascript">
	 //显示所有的Cookie
	function showAllCookie() {
		//如果Cookie.setHttpOnly(true);HttpOnly为true的话，document.cookie是获取不到HttpOnly等于true的Cookie
		alert(document.cookie);
	}
</script>

// 使用javascript无法读取HttpOnly=true的cookie，安全性更高
// 在cookie中设置了HttpOnly属性=true，那么通过js脚本将无法读取到cookie信息，这样能有效的防止XSS攻击
//javascript无法读取到HttpOnly=true的cookie信息,但是服务器端仍然可以使用java语言读取到cookie信息