如何在Django中设置HttpOnly cookie？

Question

是否值得努力防止xss？

Answer 1

使用

SESSION_COOKIE_HTTPONLY = True

在settings.py

中

Answer 2

SESSION_COOKIE_PATH = '/;HttpOnly'

可以在此处找到讨论：http://groups.google.com/group/django-users/browse_thread/thread/bd7f562d5b938054/a229073ae836f4d2?lnk=raot&pli=1

Answer 3

在Django 3.0中，您可以在settings.py中将以下cookie设置为True：

• LANGUAGE_COOKIE_HTTPONLY
• SESSION_COOKIE_HTTPONLY
• CSRF_COOKIE_HTTPONLY

对于实例，如果

SESSION_COOKIE_HTTPONLY = True

然后，您的客户端JavaScript将无法访问会话cookie。