php.ini 中的 session.cookie_secure 是自动的吗？

Question

要求简单的答案：如果我把

session.cookie_httponly=On
session.cookie_secure=On 

在我网站的 php.ini 文件中，这会自动将所有 php cookie 转换为安全和 httponly，还是我仍然需要将 true、true 放入 cookie 本身的参数槽 6 和 7 中？

Answer 1

答案是肯定的。 在php.ini中进行设置就足够了（但是，我只看到“ True”作为设置，而不是“ On”）。

• 没有设置HttpOnly标志的会话Cookie
• https://www.owasp.org/index.php/HttpOnly#Using_PHP_to_set_HttpOnly

您可以通过设置这些值，重新启动Web服务器并使用浏览器（例如Firefox）访问网站来验证这一点。 然后打开“站点信息”，然后选择“安全性”选项卡并单击cookie。 在那里您可以查看它是否被标记为安全。

Answer 2

// 防止cookie劫持

ini_set('session.cookie_httponly', 1);