问web应用程序不使用HTTPonly cookie。

EN

在浏览了许多网站之后，我找到了一个解决这个问题的方法：

这是微软在IE6 SP1中引入的一个新的安全特性，通过不允许通过客户端脚本访问带有HTTPonly属性的cookie来减少跨站点脚本攻击的可能性。

建议包括采用只使用HTTP cookie的开发策略，并执行其他操作，例如确保对用户提供的数据进行适当过滤，利用客户端对用户提供的数据进行验证，以及对所有用户提供的数据进行编码，以防止将插入的脚本以可以执行的格式发送给最终用户。

关于安全cookie的在web.config文件下添加了一行

 <system.web>
    <httpCookies httpOnlyCookies="true"  requireSSL="false" />
 <system.web>

• 如果您使用https作为http，则requireSSL="true“保持为false。

在这里找到更多的细节。