HttpOnly

HttpOnly는 Set-Cookie 속성으로, 브라우저의 JavaScript(document.cookie)에서 해당 쿠키를 읽지 못하게 막습니다.

왜 필요한가요?

• XSS가 터졌을 때, 세션 쿠키가 JS로 탈취되는 위험을 줄입니다.
• “XSS 자체를 막아주지는 않지만”, 피해 확산을 줄이는 안전장치가 됩니다.

예시

Set-Cookie: sid=...; HttpOnly; Secure; SameSite=Lax

같이 보면 좋은 문서

• Cookie
• SameSite
• Content-Security-Policy (CSP)