Wie richte ich die Verwendung von HttpOnly-Cookies in PHP ein?

Wie kann ich die Cookies in meinem PHP appsas setzen HttpOnly cookies?

• Informationen zu Ihren Cookies finden Sie in dieser Antwort.
• Informationen zum PHP-eigenen Sitzungscookie ( PHPSESSIDstandardmäßig) finden Sie in der Antwort von @ richie

Die setcookie()und setrawcookie()-Funktionen führten den httponlyParameter in den dunklen Zeiten von PHP 5.2.0 ein und machten dies schön und einfach. Setzen Sie einfach den 7. Parameter gemäß der Syntax auf true

Funktionssyntax der Kürze halber vereinfacht

setcookie(    $name, $value, $expire, $path, $domain, $secure, $httponly )
setrawcookie( $name, $value, $expire, $path, $domain, $secure, $httponly )

Geben NULLSie die Parameter ein, die Sie als Standard beibehalten möchten. Möglicherweise möchten Sie auch überlegen, ob Sie den secureParameter einstellen sollten .

Es ist auch möglich, die ältere header()Funktion auf niedrigerer Ebene zu verwenden:

header( "Set-Cookie: name=value; httpOnly" );

Für PHP-eigene Sitzungscookies auf Apache:
Fügen Sie dies Ihrer Apache-Konfiguration hinzu oder.htaccess

<IfModule php5_module>
    php_flag session.cookie_httponly on
</IfModule>

Dies kann auch innerhalb eines Skripts festgelegt werden, sofern es zuvor aufgerufen wurde session_start().

ini_set( 'session.cookie_httponly', 1 );

Beachten Sie, dass PHP-Sitzungscookies httponlystandardmäßig nicht verwendet werden.

Das zu tun:

$sess_name = session_name();
if (session_start()) {
    setcookie($sess_name, session_id(), null, '/', null, null, true);
}

Einige wichtige Punkte hier:

• Sie müssen session_name() vorher anrufensession_start()
• Dadurch wird auch der Standardpfad auf '/' gesetzt, was für Opera erforderlich ist, PHP-Sitzungscookies jedoch standardmäßig auch nicht.

Beachten Sie, dass HttpOnly das Cross-Site-Scripting nicht beendet. Stattdessen wird ein möglicher Angriff neutralisiert, und dies geschieht derzeit nur im Internet Explorer (FireFox macht HttpOnly-Cookies in XmlHttpRequest verfügbar, und Safari berücksichtigt dies überhaupt nicht). Schalten Sie auf jeden Fall HttpOnly ein, aber lassen Sie nicht einmal eine Stunde Ausgabefilterung und Fuzz-Tests im Handel dafür fallen.

<?php
//None HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, FALSE); 

//HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE); 

?>

Quelle

Erklärung hier von Ilia ... nur 5.2

Unterstützung nur für Cookie-Flags in PHP 5.2

Wie in diesem Artikel angegeben, können Sie den Header in früheren Versionen von PHP selbst festlegen

header("Set-Cookie: hidden=value; httpOnly");

Sie können es in der eingestellten Cookie-Funktion angeben, siehe PHP-Handbuch

setcookie('Foo','Bar',0,'/', 'www.sample.com'  , FALSE, TRUE);

Sie können dies in einer Header-Datei verwenden.

// setup session enviroment
ini_set('session.cookie_httponly',1);
ini_set('session.use_only_cookies',1);

Auf diese Weise verwenden alle zukünftigen Sitzungscookies nur http.

• Aktualisiert.

Die richtige Syntax des Befehls php_flag lautet

php_flag  session.cookie_httponly On

Und seien Sie sich bewusst, setzen Sie einfach zuerst die Antwort vom Server und setzen Sie das Cookie und hier (zum Beispiel können Sie die Anweisung "HttpOnly" sehen. Zum Testen löschen Sie Cookies nach jeder Testanforderung aus dem Browser.

Eine elegantere Lösung seit PHP> = 7.0

session_start(['cookie_lifetime' => 43200,'cookie_secure' => true,'cookie_httponly' => true]);

session_start

session_start-Optionen