Атрибут cookie HttpOnly

Он затрудняет кражу идентификатора сессии через XSS, но не останавливает выполнение вредоносного сценария.

1. 01

   HttpOnly исключает cookie из программных интерфейсов вне HTTP, при этом браузер продолжает прикладывать её к подходящим HTTP-запросам.

   Граница применимости: Ограничение чтения cookie из сценария страницы.

2. 02

   При XSS HttpOnly может скрыть идентификатор сессии, но внедрённый код всё ещё способен выполнять действия от имени пользователя через его браузер.

   Граница применимости: Влияние HttpOnly на последствия XSS.

1. Поставьте HttpOnly.
2. Не храните секрет сессии в JavaScript.
3. Устраните источник и опасное место вставки XSS.

• Первичная спецификация

  Cookies: HTTP State Management Mechanism

  Internet Engineering Task Force · RFC 10025, July 2026

  Текущий стандарт Cookie и Set-Cookie, включая Secure, HttpOnly, SameSite, prefixes и session-fixation considerations.

  Открыть первоисточник ↗
• Официальная документация

  Session Management Cheat Sheet

  OWASP Foundation · OWASP Cheat Sheet Series, checked 30 August 2026

  Описывает entropy, cookie transport, renewal после privilege change, timeouts, logout и server-side invalidation sessions.

  Открыть первоисточник ↗
• Официальная документация

  Cross Site Scripting Prevention Cheat Sheet

  OWASP Foundation · OWASP Cheat Sheet Series, checked 30 August 2026

  Определяет context-specific output encoding и safe sinks; CSP и WAF рассматривает как дополнительные, а не основные XSS controls.

  Открыть первоисточник ↗