这是一个创建于 1467 天前的主题，其中的信息可能已经有所发展或是发生改变。
已知：
httponly 设置为 true，无法使用 js 获取 cookie，防止 xss 攻击。
问题：
当我们打开 浏览器 - Application - Cookies ； 不是也能看见 httponly 设置为 true 的 cookie 吗？我为什么不能手动复制粘贴这个 cookie 拿出来进行使用？这样不很明显是不安全的吗？
 | 1 Trim21 2021-10-12 23:43:22 +08:00 via Android httponly 防的不是你这种情况… 如果你的网页引用了一个 js 文件（比如 jQuery ），这个 js 文件没法读取你的 cookies… |
 | 3 IvanLi127 2021-10-13 08:10:12 +08:00 via Android 你这控制浏览器和 xss 没啥关系了。客户端不可信的话是用户问题，用户自己负责。安不安全与站点无关了 |
 | 4 Justin13 2021-10-13 08:15:22 +08:00 via Android 防的是恶意 js，不是用户 |
 | 5 weyou 2021-10-13 08:42:11 +08:00 via Android 都能直接操作浏览器了，就不能谈什么安全了。这也是很长时间 chrome 不把保存的网页登录密码加密的理由，因为攻击者能直接操作你电脑的话，可以无数种方式拿到他想要的东西 |
 | 6 Telegram 2021-10-13 09:26:20 +08:00 人家防的是恶意插入的 xss 代码获取到你的 cookie，不是防的你。你都能控制浏览器了，当然可以拿到 cookie 了。 |
 | 7 Aphsss 2021-10-13 10:09:37 +08:00 防风,但不防 XX 。 |
 | 8 wdssmq 2021-10-13 11:51:29 +08:00 很多人给建站程序报的“漏洞”都是先假定攻击者能登录后台 。。emmm，， |
Select Language