[20][03][21] Cookie Security: HttpOnly not Sent

1. 问题描述

程序创建 cookie 时没有将 HttpOnly 设置为 true

2. 问题场景

所有主流浏览器都支持 cookie 的 HttpOnly 属性,该属性阻止客户端脚本访问 cookie,跨站点脚本攻击通常会访问 cookie,试图窃取 cookie 或 session,没有启用 HttpOnly 攻击者更容易访问用户 cookie

3. 修复方案

在代码中设置 cookie 的 HttpOnly 属性为 true

Cookie cookie = new Cookie("token", token);
cookie.setHttpOnly(true);