Cookie的secure和httpOnly属性的含义

Cookie访问控制

cookie如此重要，在浏览器端，如果一个网站可以访问其他网站的cookie，肯定不行的，所以浏览器是不允许跨域访问cookie的，提高了Cookie的安全性。

在前面的文章 session和cookie介绍 中，已经介绍了cookie的作用域，主要是说一级域名相同情况下如何共享使用cookie。

如果想实现跨域访问，可以通过JSONP、CORS的方法实现。

另外，HTTP设置cookie时，提供了2个属性，可以增强cookie的安全性，分别是secure属性和httpOnly属性。

secure属性可防止信息在传递的过程中被监听捕获后导致信息泄露，如果设置为true，可以限制只有通过https访问时，才会将浏览器保存的cookie传递到服务端，如果通过http访问，不会传递cookie。

httpOnly属性可以防止程序获取cookie，如果设置为true，通过js等将无法读取到cookie，能有效的防止XSS攻击。