当攻击者通过XSS注入脚本时，最直接的危害就是窃取用户的会话Cookie，从而冒充受害者登录。HttpOnly Cookie正是针对这一威胁的关键缓解措施，但很多开发者误以为设置了HttpOnly就万事大吉。本文先给出判断路径：HttpOnly Cookie能阻止JavaScript读取Cookie，从而让XSS无法直接窃取会话，但它不能阻止XSS本身，也不能防御所有会话劫持方式。因此，你需要结合输出编码、CSP等机制构建纵深防御。
判断路径：你的会话安全是否需要HttpOnly？
首先，检查你的应用是否依赖Cookie存储会话标识（如JSESSIONID、PHPSESSID）。如果是，那么HttpOnly是必选项。其次，确认你的开发框架是否默认开启HttpOnly——例如，Java EE的setHttpOnly(true)、ASP.NET的HttpOnly属性、PHP的session.cookie_httponly。如果未开启，你需要手动设置。最后，评估你的XSS防护现状：如果输出编码不完善，HttpOnly能提供额外防线，但无法修复漏洞本身。
设置HttpOnly：从响应头到框架配置
HttpOnly通过Set-Cookie响应头中的HttpOnly属性启用。例如：
Set-Cookie: sessionid=abc123; HttpOnly; Secure; SameSite=Lax在代码层面，各语言设置方式不同：
- Java (Servlet 3.0+):
response.setHeader("Set-Cookie", "name=value; HttpOnly")或使用Cookie.setHttpOnly(true)。 - Python (Flask):
response.set_cookie('session', value, httponly=True)。 - Node.js (Express):
res.cookie('session', value, { httpOnly: true })。 - PHP:
session_set_cookie_params(['httponly' => true])或setcookie('name', 'value', ['httponly' => true])。
同时，建议开启Secure属性（仅HTTPS传输）和SameSite（缓解CSRF），但注意Secure需要HTTPS环境。
HttpOnly的局限：它不能做什么？
HttpOnly只阻止JavaScript通过document.cookie读取Cookie，但XSS攻击还有其他利用方式：
- 跨站请求伪造（CSRF）：攻击者仍可利用用户的Cookie发起请求，HttpOnly不提供防护，需要配合CSRF Token。
- 会话固定：如果攻击者能设置Cookie（如通过子域漏洞），HttpOnly无法阻止。
- 服务端漏洞：如果攻击者能读取服务端日志或数据库，Cookie可能被窃取。
因此，HttpOnly是必要但非充分条件。它降低了XSS的破坏力，但你必须继续修复XSS漏洞本身。
实战：在Cloudflare环境中的应用
如果你使用Cloudflare CDN或Worker，HttpOnly的设置位置取决于你的源站。Cloudflare本身不修改你的Set-Cookie头，除非你配置了“Cookie修改”规则。例如，在Cloudflare Workers中，你可以编写代码在响应中添加或修改Set-Cookie头，确保HttpOnly属性存在。同时，Cloudflare的缓存功能不会缓存Set-Cookie响应，因此不会影响Cookie设置。
常见误区与失败条件
- 误区1：HttpOnly能防止XSS——它只缓解会话窃取，XSS仍然可以执行恶意操作或窃取其他数据。
- 误区2：设置了HttpOnly就安全——如果攻击者能通过其他方式获取Cookie（如中间人攻击），仍然危险，必须配合HTTPS。
- 失败条件：如果应用在HTTPS下未设置Secure，Cookie可能被明文传输；如果SameSite未设置，CSRF风险仍在。
结合其他防护：CSP与输出编码
要真正防御XSS，你需要多层防护。CSP（内容安全策略）可以限制脚本来源，减少注入机会；输出编码确保用户输入不被当作脚本执行。这些与HttpOnly互补，形成纵深防御。更多细节可参考站内文章：Web安全响应头配置指南：CSP与X-Frame-Options。
总结：判断你的会话安全是否到位
最后，你可以用以下清单自查：
- 所有会话Cookie都设置了HttpOnly吗？
- HTTPS环境下是否也设置了Secure？
- 是否使用了CSP和输出编码来修复XSS？
- 是否启用了SameSite（至少Lax）？
如果全部满足，你的会话安全已具备基本防线；但请记住，安全是持续的过程，定期审计和更新防护措施必不可少。
参考资料
延伸阅读