django - DjangoでHttpOnlyCookieを設定するにはどうすればよいですか？

Question

DjangoでHttpOnlyCookieを設定するにはどうすればよいですか？

そして、XSSを防ぐために努力する価値はありますか？

Answer 1

使用する

SESSION_COOKIE_HTTPONLY = True

settings.pyで

Answer 2

SESSION_COOKIE_PATH = '/;HttpOnly'

ディスカッションはここにあります： http： //groups.google.com/group/django-users/browse_thread/thread/bd7f562d5b938054/a229073ae836f4d2？lnk = raot＆pli = 1

Answer 3

Django 3.0では、settings.pyで次のCookieをTrueに設定できます。

• LANGUAGE_COOKIE_HTTPONLY
• SESSION_COOKIE_HTTPONLY
• CSRF_COOKIE_HTTPONLY

たとえば、

SESSION_COOKIE_HTTPONLY = True

そうすると、クライアント側のJavaScriptはセッションCookieにアクセスできなくなります。