cookie是目前标识用户身份一项非常流行的技术;设置httponly的cookie客户端是不能通过js来修改的;
你以为这样就万事大吉,没有办法伪造了吗?
假设网站A通过设置httponly的cookie用来记录用户的登陆状态,即只要客户端的请求当中如果包含了有效cookie就自动进入登录状态;
假设我具有一个有效cookie,我现在想通过这个cookie在别的地方直接进入登录状态,由于此cookie是httponly的,所以不能通过js直接修改生成;
127.0.0.1 www.finapm.com
所以即使httponly 的cookie也非绝对安全,也不可直接用于用户免登陆,可以加上一些加密算法,跟客户端IP,浏览器等属性绑定
原文:http://www.cnblogs.com/vvch/p/5071275.html