1. 问题描述
程序创建 cookie 时没有将 HttpOnly 设置为 true
2. 问题场景
所有主流浏览器都支持 cookie 的 HttpOnly 属性,该属性阻止客户端脚本访问 cookie,跨站点脚本攻击通常会访问 cookie,试图窃取 cookie 或 session,没有启用 HttpOnly 攻击者更容易访问用户 cookie
3. 修复方案
在代码中设置 cookie 的 HttpOnly 属性为 true
Cookie cookie = new Cookie("token", token);
cookie.setHttpOnly(true);