为啥取不到本地的 sessionid ？

[petelin]

我一直理解的的 session 是这样的，
用 cookie 创建一个 id,然后服务器端也创建一个字典，用于关联这个 id 和其他要存储的内容。


无论如何浏览器本地都需要存一个 cookie 用于标识自己(不是再说那种写在 URL 中的)，那么我们可以直接把这个 cookie 给清空，以后访问就相当于未访问状态。

我想试试这样是不是可以，然后发现， document. cookie 里面没动西。。。但是刷新页面的时候请求头里是有 cookie 。

我用的是 Flask,默认配置。有人知道咋回事吗？

[yeyeye]

你听说过 XSS 吗？ 就是坏用户通过 JS 获取这个 sessionid 。然后偷走它！

但是浏览器不傻啊 马上制定了新的标准，也就是 Cookie 的 Httponly 属性， JS 读不到，但是服务器可以读写。

现在各种后端语言都会自带这个属性，确保 sessionid 的安全性。所以一般都是获取不到，可笑到了 2016 年还有 XSS 教程说通过 XSS 获取 sessionid 进行攻击，能获取到么？当然是获取不到的。