ブラウザでもJavascriptにCookieが表示されるのはなぜですか？

Question

私は確かに、いくつかの不可解な理由のために、Javascriptを使ってクッキーを操作するサイトはまだたくさんあると確信していますが、実際に起こりうるすべてのXSSに照らしてこれを許可する正当な理由はありません。なぜブラウザはこれをまだ許可していますか？単にJSがクッキーを見るのを妨げないのはなぜですか？

Answer 1

私は、この質問は「ブラウザがまだHTML、それとも古いものをサポートしているのか」と似ていることを認めなければなりません。下位互換性は大きな問題であり、クッキーを操作する既存のjavascriptコードをすべて切り捨てると悲惨です。

と言われています。つまり、クッキーのjavascript操作が、クロスサイト通信などに役立つ場合もあります。

Answer 2

このようにして、AJAXリクエストを行わずにCookieに直接設定し、サーバー側のsession/user_profileに保存することができます。これは、セッションが終了したときに設定を表示するために登録する必要がないため、Webサイトやサーバー側を再訪したときに保持したいUI設定に便利です。

Answer 3

サーバー側からhttponly Cookieを設定することはできますが、JavaScriptではそれらを見ることができません。それはあなたが望む効果を与えるでしょう。

私は時々、クライアント側で使用されているにもかかわらず、ブラウザがすべてのリクエストでCookieをサーバーに送信するという点で、javascriptからのクライアント側のデータを少量保存することに頼っています側。

Answer 4

そして、明確にすることができます。 JavaScriptを操作するJavaScriptは、合理的かつ合理的です。それ自体は、XSSの問題を作成しません。ひどく書かれたサイトがあります。