HTTPOnly标志是否适用于持久性cookie

Question

我理解HTTPOnly标志适用于会话cookie。它适用于持久性cookie吗？有人能提供参考吗？我已经在HTTPOnly标志上检查了http://tools.ietf.org/rfc/rfc6265.txt，但没有明确说明。

Answer 1

来自HTTP Cookies Explained：

  

这个cookie的截止日期没有改变，因为   识别cookie的特征是相同的。事实上，   在您再次手动更改之前，到期日期不会更改。那   表示会话cookie可以成为持久性cookie（持续cookie）   多个会话）在同一个会话中但反之则不是   真正。为了将持久cookie更改为会话cookie，您   必须通过将其到期日期设置为a来删除持久性cookie   过去的时间，然后创建一个具有相同名称的会话cookie。

     

请记住，系统会检查到期日期   在运行浏览器的计算机上的时间。没有办法   验证系统时间是否与服务器时间同步   系统时间之间存在差异时可能会发生错误   和服务器时间。

进一步向下：

  

要创建仅限HTTP的cookie，只需在您的网站上添加HttpOnly标记即可   饼干：

在Opera Dragonfly documentation：

  

HTTPOnly cookie会话和持久性cookie也可以是HTTPOnly。一个   客户端脚本无法访问HTTPOnly cookie，即   旨在帮助抵御跨站点脚本攻击。中HTTPOnly   cookies在HTTPOnly列中标有刻度图标。

看起来你也可以至少为Opera Dragonfly应用HTTPOnly标志