HTTPS-Cookie“ HttpOnly”和“ secure”

Question

我的网站正在HTTPS协议下运行，并且我仅使用1个cookie（PHPSESSID）。我的服务器是Apache 2.2.22。我注意到我的cookie没有标题“ HttpOnly”和“ Secure”，然后我尝试通过.htaccess对其进行设置：

Header set Set-Cookie HttpOnly;Secure

.htaccess可以很好地工作（URL重写，缩小，标头过期，Etags等）。但是现在...我的网站生成了4个cookie，PHPSESSID似乎并不安全：

我想念什么吗？

Answer 1

.htaccess是执行此操作的错误方法。

PHP为此提供了会话配置选项，您可以按照通常的方式（php.ini，ini_set等）在PHP配置中进行设置，也可以通过专用的函数调用进行设置。

session.cookie_httponly和session.cookie_secure是此处的相关选项。

有关其他详细信息，请参见http://php.net/manual/en/session.configuration.php和http://php.net/manual/en/function.session-set-cookie-params.php。