httpOnly实现防止XSS时避免JavaScript读取cookie

若是cookie设置了HttpOnly标志，能够在发生XSS时避免JavaScript读取cookie，这也是HttpOnly被引入的缘由。

实现方式：

PHP中的设置

    1.在php.ini中

 session.cookie_httponly = true

 

    2.在程序中全局设定：

 <?php
  ini_set("session.cookie_httponly", 1);

 // or
  session_set_cookie_params(0, NULL, NULL, NULL, TRUE);

 ?>

    3.Cookie操做函数setcookie函数和setrawcookie函数也专门添加了第7个参数来作为HttpOnly的选项，开启方法为：

 setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);

 setrawcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);
 

    4.对于PHP5.1之前版本以及PHP4版本的话，则须要经过header函数来变通下了：

  header("Set-Cookie: hidden=value; httpOnly");