浏览器中的HttpOnly是什么

浏览器中的HttpOnly是什么

HttpOnly标志是一个安全特性，由服务器通过设置在HTTP响应头中的Set-Cookie字段来启用。启用后，它告诉浏览器这个特定的Cookie应该对客户端的JavaScript代码不可访问，以防止例如跨站脚本（XSS）的攻击者通过脚本窃取Cookie信息。虽然HttpOnly不是全面防护措施，但它显著增加了攻击者盗取用户会话的难度。

应用场景

在需要保护用户的会话信息安全时，应当使用HttpOnly属性，例如：

1. 在线银行应用将用户会话存储在名为“sessionID”的Cookie中，并将其设置为HttpOnly。即便网站存在XSS漏洞，攻击者也无法通过脚本访问到这个会话Cookie，增加了安全性。
2. 电子商务网站使用HttpOnly标记用户认证的Cookies，这样即使用户在不安全的插件或者其他客户端脚本中触发了漏洞，这些Cookies也不会被泄露。
3. 企业应用程序为了防止内部网络被入侵，对所有内部网站的身份验证Cookie启用HttpOnly，从而在一定程度上防止了内部用户的身份验证信息被非法获取。

后端如何设置HttpOnly标记？

在Spring Boot项目中设置HttpOnly标记通常涉及到配置应用的HttpServletResponse对象。以下是如何进行设置的一个示例：

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;

// ...

public void setHttpOnlyCookie(HttpServletResponse response) {
    Cookie cookie = new Cookie("sessionID", "12345");
    cookie.setHttpOnly(true);  // 设置HttpOnly标志
    response.addCookie(cookie); // 将Cookie加入响应中
}

这段代码创建了一个名为"sessionID"的Cookie，将HttpOnly标记设置为true，然后将它添加到HTTP响应中。这样当响应返回给浏览器时，Cookie就会被设置，并且JavaScript将无法访问到它。

参考链接

• Spring Boot官方文档：Spring Boot Reference Documentation
• OWASP关于HttpOnly的介绍：HttpOnly
• Mozilla关于Cookies的详细介绍：HTTP cookies