http中http-only和secure屬性

Cookie語法：

Cookie通常是作為HTTP 應答頭發送給客戶端的，下面的例子展示了相應的語法（注意，HttpOnly屬性對大小寫不敏感）： 

Set-Cookie: =[; =]
[; expires=][; domain=]
[; path=][; secure][; HttpOnly]

屬性含義

1 secure屬性

當設置為true時，表示創建的 Cookie 會被以安全的形式向服務器傳輸，也就是只能在 HTTPS 連接中被瀏覽器傳遞到服務器端進行會話驗證，如果是 HTTP 連接則不會傳遞該信息，所以不會被竊取到Cookie 的具體內容。

2 HttpOnly屬性

 

如果在Cookie中設置了"HttpOnly"屬性，那么通過程序(JS腳本、Applet等)將無法讀取到Cookie信息，這樣能有效的防止XSS攻擊。

注意：有時候不指定HttpOnly參數為true，可能刪除cookie語句無效。
//@setcookie("_mcloudauth", "", time() - 3600);
@setcookie('_mcloudauthcookie', '', time() - 3600, '/', NULL, NULL, true);