Jak skonfigurować używanie Plików cookie HttpOnly w PHP

Dla własnych plików sesyjnych PHP na Apache:
dodaj to do swojej konfiguracji Apache lub .htaccess

<IfModule php5_module>
    php_flag session.cookie_httponly on
</IfModule>

Można to również ustawić w skrypcie, o ile zostanie wywołane przed session_start().

ini_set( 'session.cookie_httponly', 1 );

Należy pamiętać, że HttpOnly nie zatrzymuje skryptów między stronami; zamiast tego neutralizuje jeden możliwy atak, a obecnie robi to tylko na IE (FireFox ujawnia pliki cookie HttpOnly w XmlHttpRequest, a Safari w ogóle go nie honoruje). Oczywiście włącz HttpOnly, ale nie upuść nawet godziny filtrowania wyjściowego i testowania fuzz w zamian za to.

Zauważ, że pliki cookie sesji PHP domyślnie nie używają httponly.

Aby to zrobić:

$sess_name = session_name();
if (session_start()) {
    setcookie($sess_name, session_id(), null, '/', null, null, true);
}

Kilka uwag tutaj:

• Musisz zadzwonić session_name() przed session_start()
• to także Ustawia domyślną ścieżkę na'/', która jest konieczne dla Opery, ale jakie PHP pliki cookie sesji domyślnie nie działają ani jedno, ani drugie.

Wyjaśnienie od Ilii... 5.2 tylko choć

Obsługa znaczników cookie HttpOnly w PHP 5.2

Jak wspomniano w tym artykule, możesz ustawić nagłówek samodzielnie w poprzednich wersjach PHP

header("Set-Cookie: hidden=value; httpOnly");

<?php
//None HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, FALSE); 

//HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE); 

?>

Źródło

Można go określić w ustawieniu funkcji cookie patrz instrukcja php

setcookie('Foo','Bar',0,'/', 'www.sample.com'  , FALSE, TRUE);

Możesz użyć tego w pliku nagłówkowym.

// setup session enviroment
ini_set('session.cookie_httponly',1);
ini_set('session.use_only_cookies',1);

W ten sposób wszystkie przyszłe pliki cookie sesji będą używać httponly.

• Aktualizacja.

Prawidłowa składnia polecenia php_flag to

php_flag  session.cookie_httponly On

I należy pamiętać, tylko pierwsza odpowiedź z serwera ustawić plik cookie i tutaj (na przykład można zobaczyć dyrektywę "HttpOnly". Tak więc do testowania Usuń pliki cookie z przeglądarki po każdym zapytaniu testowym.