如何在Rails (而不是HttpOnly cookie)中将cookie HttpOnly标志设置为false
在Rails中，可以通过设置cookie的httponly选项来控制是否将cookie的HttpOnly标志设置为false。HttpOnly标志用于防止客户端脚本访问cookie，提高安全性。以下是在Rails中将cookie的HttpOnly标志设置为false的方法：
- 在控制器中设置cookie时，可以通过传递
httponly: false选项来禁用HttpOnly标志。例如：
cookies[:cookie_name] = {
value: 'cookie_value',
httponly: false
}- 如果需要在整个应用程序中禁用所有cookie的HttpOnly标志，可以在
config/application.rb文件中添加以下配置：
config.action_dispatch.cookies_httponly = false请注意，禁用HttpOnly标志可能会降低应用程序的安全性，因为它允许客户端脚本访问cookie。在设置cookie时，请确保仅将其用于不包含敏感信息的情况，并在必要时采取其他安全措施。
关于Rails中cookie的更多信息，可以参考腾讯云的产品文档：Rails Cookie。
相关·内容
我正在尝试使用angular来设置cookie的参数。我可以设置过期日期和安全参数，但不能设置HttpOnly参数。我已经使用angular cookie服务设置了'Expires‘和'Security’，即"cookie.service.d.ts“，使用下面的方法
set(name: string, value: string, expires?: number | Date, path?: string, domain?: string, secure?: boolean, sameSite?: 'Lax' | 'Strict'):
浏览 1提问于2020-01-06得票数 4
回答已采纳
在Nodejs中，代理服务器后面有安全cookie和HTTPOnly。HttpOnly标志和带有安全标志的Cookie如何将其标头发送到代理服务器？
我一直在阅读并假设我需要在我的代理服务器上启用X-Forward-Proto？
process.env.NODE_ENV = 'production';
if (app.get('env') === 'production') {
app.set('trust proxy', 1) // trust first proxy
}
app.use(session({
st
浏览 0提问于2018-05-22得票数 1
1回答
我已经从安全小组得到了我的网站的安全违规清单。上面写着
未启用HttpOnly标志设置的Cookie自动完成密码
这基本上是什么？我能在我的Drupal 7网站上克服这个问题吗？
浏览 0提问于2011-12-21得票数 1
回答已采纳
在Ruby on Rails中，如何将会话cookie的httpOnly设置为false？
浏览 2提问于2010-04-21得票数 18
回答已采纳
页面解释了为什么制作HttpOnly cookie是个好主意。
如何在Rails中设置此属性？
浏览 9提问于2008-09-16得票数 39
回答已采纳
我正在使用owasp zap检查我的rails (v.5.0.2)应用程序的安全性。这里有一堆Cookie的问题，比如“Cookie没有HttpOnly标志”，“没有SameSite属性的Cookie”，“没有安全标志的Cookie”。我已经在这段代码(取自rails仓库中的一个建议)的帮助下完成了这个补丁。 module CookieJarExtensions
def handle_options(options)
super
options[:httponly] = true
options[:same_site] = :lax
options[:s
浏览 39提问于2020-09-23得票数 0
我使用黄瓜/webdriver.io测试环境，并且需要在一个地方删除所有cookie。我使用
console.log(await browser.getCookie());
await browser.deleteCookie();
console.log(await browser.getCookie());
控制台显示
{域：‘jira’，httpOnly: false，名称：'atlassian.xsrf.token'，路径：'/'，安全:真，值：'xxx‘}，{域：'jira-xxxxxxx'，httpO
浏览 4提问于2018-01-11得票数 0
回答已采纳
Rails版本5.1.5 在控制器操作中，我这样设置cookie： cookies[:imNotARobot] = {
value: "true",
max_age: 24*60*60,
http_only: false,
secure: Rails.env == "development" ? false : true
} 一切都像魔咒一样工作: Set cookie头被发送，cookie由浏览器设置，过期(Max_age)正常工作，安全标志正常工作。我唯一不能工作的就是取消设置/取消选中/删除HttpOnly标志
浏览 31提问于2021-09-13得票数 0
在我们的应用程序中，我们使用J2EE会话变量进行会话管理。我们最近从ColdFusion 9迁移到了2018年的ColdFusion。迁移后，注销功能无法工作。我们发现，在ColdFusion 2018中，cookie JSESSIONID没有从浏览器中清除，因为HttpOnly标志在浏览器中被设置为true。
我们试图通过以下方式在浏览器中禁用此HttpOnly标志，
By disabling HttpOnly flag and Global Script Protection in CF admin.
By modifying the jvm.config via CF admin by
浏览 5提问于2020-01-10得票数 2
回答已采纳
当前要在SpringWebFlux web客户端中设置Cookie，我将手动添加具有等号的Cookie，如name1=value;name2=value;name3-value，并使用Cookie键将其添加到标头中。
webclient.get().header("Cookie",name1=value;name2=value;name3-value);
但是，我不知道如何为这些cookie添加HttpOnly或安全标志(即added.Please )，让我知道如何在使用spring对Https进行REST调用时添加这些标志。我找不到添加这些旗子的方法。如果连接已通过HTTPS
浏览 2提问于2020-06-06得票数 1
回答已采纳
1回答
我试图在secure参数中设置为false的cookie，但是当它被发送时，它总是显示secure/true。是什么原因导致我的cookie设置忽略该参数？
setcookie( 'TEST', 'Testing', 0, C_PATH, C_DOMAIN, false );
标题：
Set-Cookie: TEST=Testing; path=/;HttpOnly;Secure
浏览 0提问于2018-06-16得票数 0
我正在积极地尝试获取有关httpOnly cookie的知识，并找到了许多关于我们为什么要使用它的文章。 但我还没有看到任何如何使用它的实际例子。从一些尝试和错误中，我了解到我们不能在浏览器中设置httpOnly标志，而需要在服务器上设置。因此，我相应地使用了cookie-parser库： const express = require('express');
var cookieParser = require('cookie-parser');
const app = express();
app.use(cookieParser());
app.pos
浏览 81提问于2020-10-25得票数 1
回答已采纳
我正在用Laravel创建一个应用程序。我有一个页面，其中的内容被锁定，直到他们接受cookie。cookies同意是一个div，位于content div的顶部。当他们点击Accept时，我想要触发一个POST请求，设置一个cookie，并且用同样的点击，我想删除element.style.diplay设置为"none“的div。
当按钮被按下时，我的cookie被正确设置了，div消失了一秒钟，但后来它又回来了，我想这一定是因为POST请求重新加载了页面并覆盖了更改。这是我的JS函数：
function removeBlock() {
const cookieConsent
浏览 9提问于2021-02-16得票数 0
1回答
我试图覆盖Cookie，并设置Cred纲:false，但这不起作用：
const request = await axios({
url: '/api/payments',
method: "post",
data: payload,
headers: {
"Content-Type": "multipart/form-data",
"Cookie": "access_token=''",
},
// aut
浏览 3提问于2021-11-23得票数 0
回答已采纳
2回答
我在官方网站上找不到任何有关cookies修改的文档，即没有用于requests.cookies.RequestsCookieJar的api文档。
例如,
session = requests.Session()
a = session.head('http://www.google.co.uk')
session.cookies
<Cookie( value='67=CXdvwjj9sjd-13Y0VyRQyUs8PxXaxyMhiGrrozXP7RWSjf-5alV4D17ORcfnZNYLAmlHXSVlHuS5LcuE4-v6vnzRQS-Gt72hg
浏览 4提问于2014-08-21得票数 13
回答已采纳
我读到了与将jwt令牌存储在本地存储中有关的一些问题，这就是为什么我试图将令牌存储在仅限于http的cookie中。我正在使用以下方法。
from rest_framework.views import APIView
from rest_framework.response import Response
import jwt
from django.conf import settings
from rest_framework import status
class LoginView(APIView):
def post(self, request, format=None)
浏览 2提问于2020-08-12得票数 5
1回答
使用Internet选项，我可以看到所有持久的cookie，而使用开发人员工具，我可以看到所有JS可访问的会话cookie。似乎没有一种方法可以查看HTTPOnly会话cookie。
在Firefox中，有许多选项，无论是内置的还是使用Firebug的，都可以查看cookie，包括能够看到请求/响应头。在IE8中没有办法看到HTTPOnly会话cookie吗？
相关问题(HttpOnly没有解决方案)：
浏览 6提问于2012-08-13得票数 5
1回答
浏览器Cookie永不过期
、、、、
我第一次用 Cookie实现了一个HTTpOnly登录。在我的例子中，它是在Python服务中使用和uvicorn调用登录方法时创建的。
我已经阅读了文档来实现expires属性，因此，浏览器在到期时删除这个cookie。
我用http.cookies和在Python中实现了Cookie，以应用HttpOnly属性，如下所示：
from http import cookies
from fastapi import FastAPI, Response, Cookie, Request
from fastapi.responses import HTMLResponse, FileRespons
浏览 13提问于2022-10-12得票数 1
回答已采纳
我知道带有安全标志的cookie应该通过HTTPS连接传输。这也意味着应该保护这些cookie不受对手(私有cookie)的攻击。因此，在这种私有cookie上设置HttpOnly标志以防止XSS是很重要的。
带有安全标志但没有HttpOnly标志的私有cookie是否存在问题？
本质上，我认为HttpOnly标志应该添加到带有安全标志的cookie中。
浏览 0提问于2017-04-11得票数 22
回答已采纳
我想在set_cookie function中添加samesite属性作为None 这是我调用set_cookie function的代码 redirect = HttpResponseRedirect( '/m/' )
redirect.set_cookie( 'access_token', access_token, max_age=60 * 60 ) 这是我设置cookie的函数 def set_cookie(self, key, value='', max_age=None, expires=None, path='/'
浏览 29提问于2020-10-13得票数 0
我正在使用NodeJS + express +快速会话从应用程序的任何地方持久化一个userID。
在第一条路由上，我的会话被定义为
userProfileRoutes.route('/authentication').post((req, res) => {
req.session.userID = 10; //example
console.log(req.session)
}
console.log的结果是：
Session {
cookie:
{ path: '/',
_expires: null,
origi
浏览 0提问于2018-11-09得票数 4
我是Nginx服务器的新手。最近开始了nginx项目。我的任务是通过nginx.conf文件设置安全头。我正确设置了一些标头，但无法设置Set-cookie。我的要求是，在响应头设置-Cookie应该有安全和HTTPOnly属性。在nginx.conf文件中添加了下面的两个指令
set_cookie_flag HttpOnly Secure;
proxy_cookie_path / "/; HTTPOnly; Secure";
尝试了每一个，也尝试了两个，但只有HttpOnly来了。请在下面查看我的conf文件片段
server {
listen 80;
浏览 5提问于2018-02-20得票数 9
2回答
我用curl保存了下面的cookie (在test.txt中，用制表符分隔，这个编辑器不保留制表符)：
# Netscape HTTP Cookie File
# http://curlm.haxx.se/rfc/cookie_spec.html
# This file was generated by libcurl! Edit at your own risk.
#HttpOnly_my-example.com FALSE / FALSE 0 _rails-root_session test
我尝试用下面的代码来读取它：
import sys
if sys.ver
浏览 0提问于2016-05-24得票数 6
我在浏览器中设置一个cookie，如下所示：
def set_browser_cookie
cookies.permanent[:ignore_stats_cookie] = {
:value => STAT_COOKIE,
:domain => :all,
:secure => false,
:httponly => false
}
redirect_to settings_path
end
当我在开发中查看Chrome中的cookie时，cookie允许任何类型的连接。
当我在生产环境中查看Chrome中的coo
浏览 2提问于2012-10-16得票数 5
我们的一个客户对我们的应用程序进行了渗透测试，并报告在使用cookies时丢失了标志。
在设置cookie时，我们应该始终使用httpOnly和secure标志。
经过一些测试后，我意识到cookies在设置时实际上正在使用这个标志，但有一个例外:注销。
注销时，某些cookie设置了过期日期，如要删除该cookie，则未使用secure和httpOnly。
这是否存在安全风险？设置过期cookie时设置这些标志有意义吗？
浏览 7提问于2013-07-26得票数 2
1回答
我希望将JWT存储在cookie中，并设置HttpOnly flag。这与react是可能的吗？
浏览 1提问于2018-08-22得票数 3
在Servlet3.0兼容的应用服务器中，我可以通过将以下内容添加到web.xml来设置会话cookie (JSESSIONID)的HttpOnly和安全标志：
<session-config>
<cookie-config>
<secure>true</secure>
<http-only>true</http-only>
</cookie-config>
</session-config>
但是，我正在处理的应用程序将部署在Websphere 7中，这是Servlet2.
浏览 1提问于2012-02-08得票数 10
回答已采纳
我想使用JWT身份验证来保护我的SPA私有路由。为了使一切尽可能安全，我想使用httpOnly cookie将我的access_token存储在客户端。
使用httpOnly cookie在很大程度上保护我免受XSS攻击，但不幸的是，这种方法不允许我检查浏览器中是否确实存在cookie。
在这种情况下，如何实现一些逻辑来防止未登录的用户访问我的SPA?的私有、安全的路由。
我是被迫使用非httpOnly曲奇还是localStorage来做这件事？
浏览 1提问于2018-08-07得票数 9
回答已采纳
我有一个Django应用程序，并且正在配置一些安全设置。其中一个设置是SESSION_COOKIE_HTTPONLY标志。我把这个旗子设为True。
在会话创建(登录)中，如果检查cookie，我可以看到设置了会话HTTPOnly标志。在注销时，服务器将返回带有空值的会话cookie更新，以显示cookie已被销毁。此空cookie不会在设置httpOnly标志的情况下发回。
我的问题是:这是安全问题吗？是否有办法强迫Django在注销时设置此标志？或者，由于返回的会话cookie是空的，这是否只是预期的行为，而不是安全问题？
浏览 5提问于2015-11-18得票数 5
回答已采纳
我使用Rails后端和React前端。我最近使用以下命名约定将我的应用程序部署到Heroku：app-name-frontend.herokuapp.com和app-name-backend.herokuapp.com，因此域是相同的。但是，当我从api发送cookie到前端时，我可以看到发送的cookie，但它从未保存过。我的cors设置如下： Rails.application.config.middleware.insert_before 0, Rack::Cors do
allow do
origins 'app-name-frontend.herokuapp.c
浏览 14提问于2021-05-05得票数 0
现在我们已经将主机从Win2K3/ IIS 6升级到Win2k8R2/IIS7.5，我看到IIS站点上有一个奇怪的响应。ASP.Net 4.0版
我们有一个非常复杂和成熟的web应用程序，它使用了以下配置的表单身份验证：
<authentication mode="Forms">
<forms loginUrl="~/Login" timeout="2000" domain="xx.xx.com" requireSSL="true" />
</authentication>
浏览 1提问于2013-01-25得票数 12
回答已采纳
我已经在Vaadin中设置了cookie，并试图从运行在不同服务器上的另一个应用程序中获得它，但我无法获得在Vaadin中设置的cookie？
我们需要禁用httpOnly cookie。
有人能帮我“如何解决这个问题吗？”
浏览 5提问于2014-02-17得票数 1
1回答
我初始化了express-session
const session = require('express-session')
const MongoStore = require('connect-mongo')(session);
//use sessions for tracking logins
app.use(session({
secret: 'secret',
resave: true,
saveUninitialized: false,
store: new MongoStore({
mongooseCon
浏览 0提问于2018-04-30得票数 0
2回答
我正在尝试将像这样运行在"api.mydomain.com“的后端服务器上的cookie设置为在"mydomain.com”下运行的前端。
res.cookie('auth', token, {
domain: 'mydomain.com',
httpOnly: true,
signed: true,
secure: true,
sameSite:'none',
});
res.json({
//response object
});
在请求的响应头中，"Set- cookie“头部是可见的
浏览 5提问于2022-05-06得票数 0
必须将cookie从节点发送到angular客户端。默认在API域中设置了cookie。如果我在cookies中设置域，它不起作用。 请澄清设置cookie的正确方法是什么？ res.setHeader('Set-Cookie', ['token=' + token + ';httpOnly;Domain=abc.com;Path=/;secure:true;']);
res.cookie('token', token, { maxAge: 60*60*12, httpOnly: true,Domain=abc.com});
浏览 31提问于2019-09-25得票数 0
1回答
我在上下文根WebSphere上部署了一个web应用程序。在应用程序中，有一个javascript在加载后立即执行，它看起来如下所示：
document.cookie = "foo=bar; path=/app";
setTimeout(function () {
document.cookie = "baz=qux; path=/app";
}, 1000);
铬行为
从DevTools中我可以看到，最初foo=bar是以non--httpOnly的形式创建的，1-2秒后它自动变成httpOnly。在等待了大约5秒后(只是为了确保)，也创建了第二个c
浏览 0提问于2019-07-04得票数 0
如何在Django中设置HttpOnly cookie？
为了防止XSS而付出的努力值得吗？
浏览 3提问于2010-08-20得票数 14
回答已采纳
默认情况下，rails会话cookie是HttpOnly，但由Devise的Devise模块设置的remember_user_token cookie不是。
据我所知，cookie在发送时会导致向用户发出新的会话cookie，因此它肯定也容易受到XSS的攻击。
那么有没有办法将它设置为HttpOnly呢？
浏览 2提问于2010-12-17得票数 1
回答已采纳
我想用httpOnly = false创建一个cookie，这就是我现在正在做的
Cookie::queue("key", "val", 30, null, null, false, false);
但我无法在javascript中访问该cookie，我还注意到http flag是在开发人员工具中为该cookie设置的。
我错过了什么吗？
浏览 3提问于2016-06-03得票数 0
1回答
我正在创建基于jwt令牌的会话，并使用httpOnly参数将该令牌传递给客户端，但是在浏览器中可以看到cookie，这里是照片：
这是密码
const token = jwt.sign({id :payload}, process.env.SECRET, {
expiresIn: 10
})
console.log(token)
res.cookie('token', token, {
httpOnly: true
});
为什么“令牌cookie”是可见的？
浏览 0提问于2019-03-12得票数 1
回答已采纳
1回答
我想重写一个单一的社交网站来使用JWT来进行身份验证，而不是传统的cookie/sessionm，我正在寻找一个安全的实现。我读到这里说：
您可能认为HttpOnly cookie (由服务器而不是客户端创建)会有所帮助，但cookie很容易受到CSRF攻击。需要注意的是，HttpOnly和合理的CORS策略不能防止CSRF表单提交攻击，使用cookie需要适当的CSRF缓解策略。
上面的文章给出了一个精心设计的两个JWT令牌，其中一个被设置为cookie，用于刷新用于身份验证的另一个。
另一方面，我看到现实世界应用程序的实现 (什么媒体使用)可以在httpOnly中保存JWT。因此，我对在前
浏览 0提问于2021-11-18得票数 0
我已经使用js库在前端生成和设置了cookie本身(React )，这个库一直运行良好，直到我将它与httpOnly设置为false一起使用。现在，我的条件被设置为httpOnly为true，但我无法实现这一点，因为我在互联网上发现，如果我们用httpOnly = true设置cookie，那么我将无法使用javascript (即)获得cookie。这只是httpOnly cookie的一个特性。
我搜索并找到了一个名为“react”的相关库，但是有了这个库，我也不知道我的javascript如何才能得到这个cookie。还发现，我们可以在实际的处理服务器之间使用快递服务器作为中间件，我们可
浏览 9提问于2020-08-25得票数 0
我有一个关于HttpOnly cookie的问题。跟踪其他线程没有多大帮助，因此我在这里发布我的查询，以了解您是否可以预见到我的理解中的任何问题。
有一个网站，比方说www.example.com，它将cookie设置为两个阶段。
负载均衡器与客户端的连接-- LB_Cookie加密
客户端与Web的连接-- ASP.NET_Session_Cookie加密和HttpOnly
在上面的示例中，ASP.NET_Session_Cookie是HttpOnly (免受XSS攻击的安全)--这是包含用户会话信息的cookie。但是，对于LB_Cookie，没有设置HttpOnly标志。我不知道这会不会
浏览 0提问于2015-06-25得票数 4
回答已采纳
我有以下代码：
var express = require('express');
var cookieParser = require('cookie-parser');
var http = require('http')
var app = express();
app.use(cookieParser());
var session = require('express-session');
app.use(session({
resave: false,
saveUninitialized: true,
浏览 1提问于2016-01-29得票数 20
回答已采纳
嗨，到目前为止，我正在尝试使用httponly cookies，这是我写的代码
protected void doGet(HttpServletRequest req, HttpServletResponse resp)
throws ServletException, IOException {
resp.setContentType("text/html");
PrintWriter out = resp.getWriter();
Cookie cookie = new Cookie("mycookie", "
浏览 2提问于2012-04-16得票数 1
回答已采纳
我正在尝试关闭httponly以便在phonegap中使用。我使用的是rails 3.1和devise，它们中的每一个都报告了(但没有文档)实现这一点的方法，但没有一个是有效的：
# application.rb
config.session_options = { :httponly => false } # no effect
config.session = { :httponly => false } # undefined method `session='
# devise.rb
config.cookie_options = { :httponly =&g
浏览 3提问于2011-12-02得票数 4
回答已采纳
我有一个关于在Qooxdoo中使用Cookie的问题。目前我的企业应用使用qooxdoo作为客户端，我们使用Cookie来存储服务器发来的本地化信息。我们有一个关于HttpOnly和安全标志的易受攻击的报告，所以我们启用了from服务器。结果，cookie对客户端隐藏了，我们使用了qx.bom.Cookie.get()，但是这个函数已经不起作用了，因为cookie现在隐藏了。那么，我的问题是，当服务器将HttpOnly和安全标志设置为True时，是否可以获取cookie？如果是的话，能不能请您指点一下？提前谢谢。
谢谢
Khoa Tran
浏览 3提问于2018-07-19得票数 0
2回答
我通常将用户令牌保存在本地存储中。我检查本地存储中的token密钥作为CanActivate方法来保护某些路由。如果密钥在那里，我让用户登陆页面，否则我重定向到登录页面。
现在，我使用cookie来存储身份验证令牌。令牌在服务器登录时直接存储在cookie中(set-cookie，secure: true，httpOnly: true)。
由于httpOnly，我无法检查token是否存储在js中，我也不知道如何保护我的路由。我怎样才能像以前一样完成类似的处理呢？我是否应该在登录时将某些内容保存在本地存储中，并只检查密钥是否在那里？我可以检查密钥是否以某种方式存储在cookies中吗？
浏览 3提问于2019-09-27得票数 2
当我将cookie.secure标志设置为true时，它不会将cookie返回给客户端。
注意到
它将会话数据保存在数据库中，如果set cookie.secure =false应用程序返回所有剩余的安全cookie ，则返回cookie
var app = express()
app.set('trust proxy', 1);
app.use(session({
name: '_usr',
store: new pgStore({.......})
secret: 'keyboard cat',
resave: false
浏览 2提问于2020-10-26得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
