會話cookie應該始終爲HttpOnly嗎？

Question

會話cookie應該始終是HttpOnly嗎？

Answer 1

JavaScript應該訪問會話cookie的原因很少。我遇到過的唯一一個Flash需要訪問cookie的地方，因爲它必須通過相同的cookie來自己的請求。爲了提供cookie，我必須將cookies打印到頁面上（這使得它們可以用於JS）。

這仍然可以用HttpOnly標誌設置（但該標誌將是多餘的）。

總之，是的，設置標誌。

Answer 2

如果你只想通過HTTP（而不是JavaScript）訪問它，那麼是的。

一些舊版瀏覽器允許您通過XHR爲cookie添加標頭。我相信這已經在新版本中得到修復。