今天看了《白帽子讲web安全》一书，顺便记录一下，HttpOnly的设置 httponly的设置值为 TRUE 时，使得Javascript无法获取到该值，有效地防御了XSS打管理员的 cookie …