关于 cookie - httponly 的懵逼

2021-10-12 23:40:26 +08:00

jiemou

已知：
httponly 设置为 true，无法使用 js 获取 cookie，防止 xss 攻击。

问题：
当我们打开浏览器 - Application - Cookies ；不是也能看见 httponly 设置为 true 的 cookie 吗？我为什么不能手动复制粘贴这个 cookie 拿出来进行使用？这样不很明显是不安全的吗？

1497 次点击

所在节点

9 条回复

Trim21

2021-10-12 23:43:22 +08:00

httponly 防的不是你这种情况…

如果你的网页引用了一个 js 文件（比如 jQuery ），这个 js 文件没法读取你的 cookies…

jiemou

2021-10-12 23:47:21 +08:00

@Trim21 一般的安全检测会这样取 cookie 去模拟访问吗？

IvanLi127

2021-10-13 08:10:12 +08:00

你这控制浏览器和 xss 没啥关系了。客户端不可信的话是用户问题，用户自己负责。安不安全与站点无关了

Justin13

2021-10-13 08:15:22 +08:00

防的是恶意 js，不是用户

weyou

2021-10-13 08:42:11 +08:00

都能直接操作浏览器了，就不能谈什么安全了。这也是很长时间 chrome 不把保存的网页登录密码加密的理由，因为攻击者能直接操作你电脑的话，可以无数种方式拿到他想要的东西

2021-10-13 09:26:20 +08:00

人家防的是恶意插入的 xss 代码获取到你的 cookie，不是防的你。你都能控制浏览器了，当然可以拿到 cookie 了。

Aphsss

2021-10-13 10:09:37 +08:00

防风,但不防 XX 。

wdssmq

2021-10-13 11:51:29 +08:00

很多人给建站程序报的“漏洞”都是先假定攻击者能登录后台。。emmm，，

jiemou

2021-10-13 12:15:46 +08:00

第 1 页／共 1 页

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

关于 cookie - httponly 的 懵逼