为什么Http-only可以用来防御XSS攻击？

Question

问题遇到的现象和发生背景

用代码块功能插入代码，请勿粘贴截图

我想要达到的结果

为什么Http-only可以用来防御XSS攻击？

Answer 1

js获取不到设置cookie时添加了http-only属性的cookie内容，比如用户登录网站后的身份cookie值，cookie和身份session是关联一起的。但是xss还是可以做破坏，比如修改页面信息，和获取一些用户信息什么的。

XSS HTTP-only_金一白的博客-CSDN博客 装载自： http://itlab.idcquan.com/security/wlaq/777263.html在Web安全领域，跨站脚本攻击时最为常见的一种攻击形式，也是长久以来的一个老大难问题，而本文将向读者介绍的是一种用以缓解这种压力的技术，即HTTP-only cookie.我们首先对HTTP-only cookie和跨站脚本攻击做了简单的解释，然后详细说明了如何利用HTTP-only coo https://blog.csdn.net/luojinbai/article/details/50762095