http-only 해제

Question

XSS 실습을 위해 임시 jsp 게시판을 만들어서 진행해보려고 합니다.그런데 document.cookie를 콘솔에 입력했으나 아무것도 뜨지 않았습니다.cookie의 http-only(기본적으로 적용된다고 알고 있습니다)와 secure 속성 때문에 제한된 것이라 생각해

false

이 코드를 web.xml에 추가해 두 속성을 껐습니다.그런데 크롬(최신버전)에서 JSESSIONID의 http-only 속성이 여전히 체크되어 있었습니다.(secure은 체크가 해제되었습니다) 크롬 개발자도구에서 직접 쿠키의 http-only를 끄는 방법은 성공적이었지만, 다른 여러 사이트에서 확인해 봤을 때 크롬이 기본적으로 http-only 속성을 지원해주지는 않는 것 같습니다. 왜 web.xml에서 속성을 껐음에도 불구하고 여전히 세션 쿠키에 http-only가 붙어있나요?이 속성을 해제해야 하는 다른 부분이 있나요?조언 부탁드립니다!

http-only 해제

0개의 답변

Q&A 목록