¿Cómo se configura el uso de cookies HttpOnly en PHP

Question

¿Cómo puedo configurar las cookies en mi PHP apps como HttpOnly cookies?

Answer 1

• Para cookies, ver esta respuesta.
• Por propia cookie de sesión de PHP (PHPSESSID, por defecto), ver @richie's answer

Los setcookie() y setrawcookie() funciones, introducido el parámetro httponly, de vuelta en la edad oscura de PHP 5.2.0, haciendo de este agradable y fácil. Basta con establecer el séptimo parámetro en true, según la sintaxis

Sintaxis de la función simplificada por razones de brevedad

setcookie( $name, $value, $expire, $path, $domain, $secure, $httponly) 
setrawcookie($name, $value, $expire, $path, $domain, $secure, $httponly) 

Introduzca NULL de parámetros que desea permanecer como predeterminados. Es posible que también desee considerar si debe establecer el parámetro secure.

También es posible el uso de los mayores, de nivel inferior header() función:

header("Set-Cookie: name=value; httpOnly"); 

Answer 2

Explicación aquí desde Ilia ... 5.2 solamente a través de

httpOnly cookie flag support in PHP 5.2

Como se indica en ese artículo, se puede establecer el encabezado de sí mismo en las versiones anteriores de PHP

header("Set-Cookie: hidden=value; httpOnly"); 

Answer 3

<?php 
//None HttpOnly cookie: 
setcookie("abc", "test", NULL, NULL, NULL, NULL, FALSE); 

//HttpOnly cookie: 
setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE); 

?> 

Source

Answer 4

Puede especificar en la función de conjunto de cookies see the php manual

setcookie('Foo','Bar',0,'/', 'www.sample.com' , FALSE, TRUE); 

Answer 5

Tenga en cuenta que no se detiene HttpOnly cross-site scripting; en cambio, neutraliza un posible ataque, y actualmente lo hace solo en IE (Firefox expone las cookies HttpOnly en XmlHttpRequest, y Safari no lo respeta en absoluto). Por supuesto, active HttpOnly, pero no pierda ni una hora de filtrado de salida y pruebas de fuzz en el comercio.

Answer 6

Tenga en cuenta que las cookies de sesión PHP no usan httponly de forma predeterminada.

de hacerlo:

$sess_name = session_name(); 
if (session_start()) { 
    setcookie($sess_name, session_id(), null, '/', null, null, true); 
} 

Un par de elementos de la nota aquí:

• Tienes que llamar session_name() antes session_start()
• Esto también establece la ruta predeterminada a '/ ', que es necesario para Opera pero que PHP cookies de sesión no lo hacen de forma predeterminada tampoco.

Answer 7

Para propias cookies de sesión de PHP en Apache:
Agregar a su configuración de Apache o .htaccess

<IfModule php5_module> 
    php_flag session.cookie_httponly on 
</IfModule> 

Esto también se puede ajustar dentro de un script, con tal de que se llama antes de session_start().

ini_set('session.cookie_httponly', 1); 

Answer 8

Puede usar esto en un archivo de encabezado.

// setup session enviroment 
ini_set('session.cookie_httponly',1); 
ini_set('session.use_only_cookies',1); 

De esta forma todas las futuras cookies utilizarán httponly.

Answer 9

La sintaxis correcta del comando php_flag es

php_flag session.cookie_httponly On 

Y tener en cuenta, simplemente primera respuesta desde el servidor instalar la cookie y aquí (por ejemplo, Se puede ver la directiva "HttpOnly". Así que para las pruebas de eliminar cookies desde el navegador después de cada solicitud de prueba.