security - SSLがすでに設定されている場合、HttpOnlyは必要ですか？

Question

アプリケーションサーバーにSSLをすでに設定している場合でも、CookieにHttpOnlyを設定する必要がありますか？

Answer 1

はい。2つのフラグは互いに関係がありません（ただし、どちらもセキュリティ/プライバシーオプションです）

• 「安全」とは、Cookieが暗号化された接続を介してのみ送信されることを意味します

• 「HttpOnly」は、CookieがJavascriptに表示されないことを意味します

たとえば、HTTPSページにXSSを設定することもできます（その後、悪意のあるスクリプトがCookieを食いつぶす可能性があります）。