HTTPOnly 플래그의 의도 된 동작 이해

Question

쿠키의 HTTPOnly 특성과 관련하여 약간의 혼동이 있습니다. 나는 그것의 주요 용도가 XSS 공격으로부터 보호하기위한 것이라는 것을 알고있다. 쿠키에 대해 httponly를 사용하도록 설정 한 웹 응용 프로그램이 있다고 가정합니다. 나는 이것을 위해 Fiddler와 같은 차단 프록시를 사용했다. 그러나 모든 후속 트랜잭션에서 쿠키에는 httponly 플래그가 수반되지 않습니다. 이 기능은 한 번 설정하고 전체 세션은 httponly 플래그로 처리됩니다 ... 또는 구현 결함입니다. 그러나 쿠키 관리자 애드온을 통해 모니터링 할 때 속성은 httponly가 활성화되어 있음을 나타냅니다. 제 질문은 쿠키 관리자가 차단 프록시를 사용하도록 설정했으나 차단 프록시가 아닌 것으로 표시된 이유가 정상적인 작동인지 또는 잘못된 구현인지 여부입니다. 이해 좀 도와주세요.

Answer 1

HttpOnly은 쿠키가 쿠키에 사용 가능하도록 브라우저에 지시하도록 Set-Cookie 헤더의 서버에서 전송됩니다. 브라우저는 여전히 http 연결을 통해 브라우저를 보냅니다. Set-Cookie 헤더에는 쿠키의 만료시기, 도메인, 쿠키 경로, https (보안 플래그) 및 HttpOnly를 통해서만 전송해야하는지 여부와 같은 모든 종류의 쿠키 지침이 포함될 수 있습니다. 이것들은 서버에서 브라우저까지의 모든 명령이므로 브라우저가 요청할 때마다 다시 서버로 전송할 필요가 없습니다.