系统安全--csrf攻击、为关键cookie设置httpOnly属性（防止xss攻击）安全问题

为关键cookie设置httpOnly属性 首先，设置了HttpOnly属性的cookie变量无法被js获取，而XSS就是在别人的应用程序中恶意执行一段JS以窃取用户的cookie，所以为关键Cookie设置HttpOnly属性可以有效防止XSS攻击（Cross Site Scripting  跨站脚本攻击）。 但实际中有很多Cookie需要给前端JS使用，因此一般的安全问题只需要关注关键Cook

>>阅读原文<<