请教前端安全问题：前端 Cookie 设置 httpOnly=true 禁止 JS 读取就绝对安全吗
bojue · 2021-01-03 15:41:20 +08:00 · 2220 次点击这是一个创建于 1207 天前的主题，其中的信息可能已经有所发展或是发生改变。
设置 httpOnly 是不是就可以在前端防止 Cookie 泄露，防御伪造请求（ CSRF ）安全问题。
网上查阅的资料，在一些浏览器的旧版本上，虽然支持 httpOnly=true 时禁止读取 Cookie，但是没有预防 Cookie 的写入，可以通过重写 Cookie 覆盖 httpOnly = true 的安全设置[未尝试]。
在现代浏览器环境，是否存在其他方式导致在前端泄露 Cookie
网上查阅的资料，在一些浏览器的旧版本上，虽然支持 httpOnly=true 时禁止读取 Cookie，但是没有预防 Cookie 的写入，可以通过重写 Cookie 覆盖 httpOnly = true 的安全设置[未尝试]。
在现代浏览器环境，是否存在其他方式导致在前端泄露 Cookie
 |
1
Mitt 2021-01-03 15:59:09 +08:00
只要不被中间人，JS 投毒就很安全
|
 |
2
momocraft 2021-01-03 16:04:54 +08:00
考虑一下想 csrf 的人的视角
必须泄露才能使用吗? js 不能读取等于 js 不能使用吗? |
 |
4
bojue OP |
 |
5
liuxey 2021-01-03 16:13:04 +08:00  1
HttpOnly 能防止 XSS 攻击，但并不能解决 CSRF 问题，防御 CSRF 常用的方法是隐藏表单域存 CSRF token
|
 |
7
YouLMAO 2021-01-03 16:20:27 +08:00 2
httpOnly 禁止 js 读, 不禁止发给服务器, 不预防 CSRF, 而预防 xss
|
 |
8
wunonglin 2021-01-03 16:22:52 +08:00 1
答：在现代浏览器环境，还存在打开控制台导致在前端泄露 Cookie
|
Select Language