这是一个创建于 1140 天前的主题，其中的信息可能已经有所发展或是发生改变。
已知：
httponly 设置为 true，无法使用 js 获取 cookie，防止 xss 攻击。
问题：
当我们打开 浏览器 - Application - Cookies ； 不是也能看见 httponly 设置为 true 的 cookie 吗？我为什么不能手动复制粘贴这个 cookie 拿出来进行使用？这样不很明显是不安全的吗？
 |
1
Trim21 2021-10-12 23:43:22 +08:00 via Android
httponly 防的不是你这种情况…
如果你的网页引用了一个 js 文件（比如 jQuery ），这个 js 文件没法读取你的 cookies… |
 |
3
IvanLi127 2021-10-13 08:10:12 +08:00 via Android
你这控制浏览器和 xss 没啥关系了。客户端不可信的话是用户问题，用户自己负责。安不安全与站点无关了
|
 |
4
Justin13 2021-10-13 08:15:22 +08:00 via Android
防的是恶意 js，不是用户
|
 |
5
weyou 2021-10-13 08:42:11 +08:00 via Android
都能直接操作浏览器了，就不能谈什么安全了。这也是很长时间 chrome 不把保存的网页登录密码加密的理由，因为攻击者能直接操作你电脑的话，可以无数种方式拿到他想要的东西
|
 |
6
Telegram 2021-10-13 09:26:20 +08:00
人家防的是恶意插入的 xss 代码获取到你的 cookie，不是防的你。你都能控制浏览器了，当然可以拿到 cookie 了。
|
 |
7
Aphsss 2021-10-13 10:09:37 +08:00
防风,但不防 XX 。
|
 |
8
wdssmq 2021-10-13 11:51:29 +08:00
很多人给建站程序报的“漏洞”都是先假定攻击者能登录后台 。。emmm，，
|
Select Language