沒有HttpOnly會話Cookie標誌設置

Question

我有建立一個網站與登錄系統。剛剛準備好後，我用Acunetix掃描了它，但我收到以下消息：

沒有HttpOnly標誌的會話Cookie設置 沒有安全標誌的會話Cookie設置（我猜這隻有當我有SSL連接時）

所以我的問題是，我該如何爲所有會話數據設置HttpOnly標誌？我只是在登錄用戶時使用會話。我給他們一個使用userID號碼的會話，而不是使用該userID獲取數據。

是否有任何簡單的方法，我可以設置所有的會話HTTPOnly並保護它們，因此沒有人可以觸摸它們？

Answer 1

您可以通過電話ini_set()在php.ini中更改設置或更改session.cookie_secure和session.cookie_httponly的值爲true。

或者，您也可以在開始會話之前使用session_set_cookie_params()以獲得您要查找的效果。

http://us3.php.net/manual/en/function.session-set-cookie-params.php

Answer 2

你應該檢查出this excellent site這個問題。歸結到一點，（或通過適當的運行功能）在你的php.ini的會議段設置它：

session.cookie_httponly = True 

Answer 3

你也可以只設置httponly標誌false當您使用PHP的setcookie：

// params: name, value, expiration, path, domain, secure, http-only 
setcookie('session-cookie-key', 'data', 0, '/', 'example.com', true, false);