django - 如何在 Django 中设置 HttpOnly cookie？

Question

如何在 Django 中设置 HttpOnly cookie？

是否值得努力防止 XSS？

Answer 1

利用

SESSION_COOKIE_HTTPONLY = True

在 settings.py

Answer 2

SESSION_COOKIE_PATH = '/;HttpOnly'

可以在这里找到讨论：http ://groups.google.com/group/django-users/browse_thread/thread/bd7f562d5b938054/a229073ae836f4d2?lnk=raot&pli=1

Answer 3

在 Django 3.0 中，您可以在 settings.py 中将以下 cookie 设置为 True：

• LANGUAGE_COOKIE_HTTPONLY
• SESSION_COOKIE_HTTPONLY
• CSRF_COOKIE_HTTPONLY

例如，如果

SESSION_COOKIE_HTTPONLY = True

然后您的客户端 JavaScript 将无法访问会话 cookie。