Cookie劫持是常见的Web安全威胁之一，通过合理配置HTTP响应头可有效降低风险。本文详细介绍Set-Cookie属性、Secure/HttpOnly标志、SameSite策略等关键防护措施，并提供具体实现代码示例，帮助开发者构建更安全的Web应用。
一、Cookie劫持的原理与危害
Cookie劫持（Session Hijacking）是指攻击者通过非法手段获取用户的会话标识（Session ID），从而冒充用户身份执行未授权操作。常见攻击方式包括：
- 网络嗅探（未加密的HTTP传输）
- XSS跨站脚本攻击
- 中间人攻击（MITM）
二、关键HTTP头防护配置
1. Secure与HttpOnly属性
Set-Cookie: sessionid=abc123; Secure; HttpOnly; Path=/- Secure：仅通过HTTPS传输Cookie
- HttpOnly：禁止JavaScript访问Cookie
2. SameSite属性配置
Set-Cookie: sessionid=abc123; SameSite=Strict; Secure可选值：
- Strict：完全禁止第三方Cookie
- Lax：允许安全跨站请求（默认值）
- None：允许所有跨站请求（需配合Secure）
3. 有效期与作用域控制
Set-Cookie: token=xyz456; Max-Age=3600; Domain=.yourdomain.com; Path=/api- Max-Age：替代Expires的现代标准（秒为单位）
- Domain/Path：精确控制Cookie作用范围
三、服务端实现示例
Node.js Express配置
app.use(session({
secret: 'your_secret_key',
cookie: {
httpOnly: true,
secure: true,
sameSite: 'strict',
maxAge: 24 60 60 1000
}
}));Nginx全局配置
add_header Set-Cookie "sessionid=$cookie_sessionid; Path=/; HttpOnly; Secure; SameSite=Lax";四、进阶防护建议
- 启用Content-Security-Policy防止XSS
- 定期轮换会话密钥
- 对敏感操作启用二次认证
- 监控异常的Cookie使用行为
通过组合使用这些HTTP头设置，可构建多层次的Cookie防护体系。建议开发者根据实际业务场景选择适当的安全策略，并在测试环境充分验证兼容性。
评论