网络与安全 · 单选题 · 第 34 题
前端与全栈开发面试 · 第 34 题
给 Cookie 加上 HttpOnly 属性的作用是?
- A禁止 JS 通过 document.cookie 读取它,降低 XSS 窃取会话的风险
- B让 Cookie 只能通过 HTTP 发送,在 HTTPS 连接下不会被携带
- C阻止浏览器在跨站请求中自动携带该 Cookie,从而防御 CSRF 攻击
- D浏览器会对 Cookie 的值加密存储,即使被截获也无法解密
答案
A A. 禁止 JS 通过 document.cookie 读取它,降低 XSS 窃取会话的风险
解析
HttpOnly 的 Cookie 仍会随请求发送,只是脚本读不到,即使页面存在 XSS,攻击者也很难直接偷走会话 Cookie。只在 HTTPS 下发送是 Secure 属性,限制跨站携带是 SameSite 属性。会话 Cookie 一般同时设置 HttpOnly、Secure 和 SameSite。