httpのみのクッキーのポイントは何ですか？

Question

あなたのサイトにXSS攻撃があるとします。 ハッカーはCookieを使用して任意のリクエストを行うことができます。 クライアントからこの値を隠すのは何ですか？

Answer 1

Well Http Cookieのみがサーバーからのみアクセスできます。 JavaScriptからはアクセスできません。つまり、ハッカーがこれらのクッキーを自分自身のために使用することはより困難になります。

Http Cookieのみを使用すると、Webサイトに対するクロスサイトスクリプティング攻撃の可能性が低くなります。

詳細については、このリンクを参照してください：XSS攻撃でhttps://www.owasp.org/index.php/HttpOnly

Answer 2

を、「ハッカーは、クッキーとの任意の要求を行うことができるが、」しかし、なく、すべてのクッキー。 1つのクッキーがHttpOnlyの場合、クライアントのJavaScriptからアクセスすることはできません。つまり、ハッカーはクッキー値を読み取って自分のサーバーに送信することができません。

通常、クッキーを保護するために使用されている場合HttpOnly、クッキーのDomainも設定されている（Domainは、HTTPレスポンスのSet-Cookieヘッダーに欠落している場合、そのHTTP接続のホスト名としてクッキーのドメインを設定するブラウザ）。ハッカーはHTTPリクエストをトリガし、ブラウザにリクエストにHttpOnlyクッキーを入れさせることができますが、クッキーのDomainによって制限されます。クッキーは、DomainがHTTPリクエストと一致する場合にのみ送信されます。したがって、HttpOnlyウェブサイトのクッキーDomainは安全です。XSS攻撃者に漏洩することはありません。