回复内容：
http-only 可以防止cookie被偷取，但是却不是万能的，方便与安全总是背道而驰的。在开发上面，除非整体架构一开始部署httponly，这样后期维护成本相对较低。否则到了后期，普遍想部署httponly就相对困难了。主要体现在：业务线很长的情况下，部署httponly就相当于牵一发而动全身了。
以腾讯为例子：你会发现他里头有一段代码：
document.domain=”http://qq.com“;
即不同的二级域名*.http://qq.com乃至更多级域名能同步cookie等用户信息。
这样带来的是用户体验的提升，但是，也给安全问题埋下了伏笔。
腾讯的一个二级域名xss能做什么？可以看看pkav的这个视频：
互联网真的安全么？ http://v.qq.com/bok本文来源gao@!dai!ma.com搞$$代^@码!网!搞gaodaima代码e/play/t/v/m/t1063qxrovm.html?_out=102 嗯，上面说了这么多，总结一下：
1、httponly普及【广泛使用】与否还得看场景，脱离场景谈论httponly就是耍流氓。
2、httponly并不是万能的。Apache的cve-2012-0053能突破httponly。
搞代码网（gaodaima.com）提供的所有资源部分来自互联网，如果有侵犯您的版权或其他权益，请说明详细缘由并提供版权或权益证明然后发送到邮箱[email protected]，我们会在看到邮件的第一时间内为您处理，或直接联系QQ：872152909。本网站采用BY-NC-SA协议进行授权
转载请注明原文链接：既然 HttpOnly 可以防止 XSS 偷取 Cookie，为什么没有被广泛使用？
转载请注明原文链接：既然 HttpOnly 可以防止 XSS 偷取 Cookie，为什么没有被广泛使用？
