Session Cookie的HttpOnly和secure特性

简介：
本文探讨了Session Cookie中的HttpOnly和Secure属性，解释了它们的作用及其在保护用户数据安全方面的重要性。 一、属性介绍：1. secure 属性 当设置为 true 时，表示创建的 Cookie 将以安全的形式传输到服务器，在 HTTPS 连接中浏览器会传递该 Cookie 到服务器进行验证；如果是 HTTP 连接，则不会将此信息发送出去，从而防止了窃取。2. HttpOnly 属性 如果在Cookie 中设置了 HttpOnly 属性，那么通过程序（如 JS 脚本、Applet 等）无法读取到 Cookie 信息，有效地避免了 XSS 攻击。 对于上述两个属性而言：首先，secure 属性可以防止传输过程中监听导致的信息泄漏；而 HttpOnly 属性则阻止应用程序获取 cookie 后进行攻击。其次，在 GlassFish2.x 中使用的是 servlet2.5 版本，并不支持 Session Cookie 的 HttpOnly 属性。但是通过 Filter 可以实现简单的 HttpOnly 功能处理。GlassFish3.0（支持servlet 3.0）默认开启了Session Cookie的HttpOnly属性。 然而，这两个属性并不能解决在本地机器上出现的信息泄漏问题，例如 FireFox 插件FireBug 能够直接查看到 cookie 的相关信息。