为web服务器设置HttpOnly防范XSS攻击
浏览数：18 /
时间：2015年06月09日
HttpOnly标识是一个可选的、避免利用XSS（Cross-Site Scripting)来获取session cookie的标识。XSS攻击最常见一个的目标是通过获取的session cookie来劫持受害者的session；使用HttpOnly标识是一种很有用的保护机制。
可以人工设置这些参数，如果在Servlet3或者更新的环境,tomcat7中开发，只需要在web.xml简单的配置就能实现这种效果。
你要在web.xml中添加如下片段：
<session-config>
<cookie-config>
<http-only>true</http-only>
</cookie-config>
</session-config>
而且如果使用了secure标识，配置应该如下
<session-config>
<cookie-config>
<http-only>true</http-only>
<secure>true</secure>
</cookie-config>
</session-config>
郑重声明：本站内容如果来自互联网及其他传播媒体，其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享，并不代表本站赞同其观点和对其真实性负责，也不构成任何其他建议。
