Comment configurer l'utilisation des cookies HttpOnly en PHP

Comment puis-je définir les cookies dans mon PHP appsas HttpOnly cookies?

• Pour vos cookies , consultez cette réponse.
• Pour le cookie de session de PHP ( PHPSESSID, par défaut), voir la réponse de @ richie

Les fonctions setcookie()et setrawcookie(), ont introduit le httponlyparamètre, à l'époque sombre de PHP 5.2.0, ce qui rend cela agréable et facile. Définissez simplement le 7ème paramètre sur true, selon la syntaxe

Syntaxe de la fonction simplifiée pour plus de brièveté

setcookie(    $name, $value, $expire, $path, $domain, $secure, $httponly )
setrawcookie( $name, $value, $expire, $path, $domain, $secure, $httponly )

Entrez NULLpour les paramètres que vous souhaitez conserver par défaut. Vous voudrez peut-être également déterminer si vous devez définir le secureparamètre.

Il est également possible d'utiliser l'ancienne header()fonction de niveau inférieur :

header( "Set-Cookie: name=value; httpOnly" );

Pour les cookies de session PHP sur Apache:
ajoutez ceci à votre configuration Apache ou.htaccess

<IfModule php5_module>
    php_flag session.cookie_httponly on
</IfModule>

Cela peut également être défini dans un script, à condition qu'il soit appelé auparavant session_start().

ini_set( 'session.cookie_httponly', 1 );

Notez que les cookies de session PHP ne sont pas utilisés httponlypar défaut.

Pour faire ça:

$sess_name = session_name();
if (session_start()) {
    setcookie($sess_name, session_id(), null, '/', null, null, true);
}

Quelques points à noter ici:

• Vous devez appeler session_name() avantsession_start()
• Cela définit également le chemin par défaut sur «/», ce qui est nécessaire pour Opera mais que les cookies de session PHP ne font pas non plus par défaut.

Sachez que HttpOnly n'arrête pas les scripts intersites; au lieu de cela, il neutralise une attaque possible, et ne le fait actuellement que sur IE (FireFox expose les cookies HttpOnly dans XmlHttpRequest, et Safari ne l'honorent pas du tout). Bien sûr, activez HttpOnly, mais ne perdez même pas une heure de filtrage de sortie et de test de fuzz dans le commerce pour cela.

<?php
//None HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, FALSE); 

//HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE); 

?>

La source

Explication ici d'Ilia ... 5.2 seulement

Prise en charge de l'indicateur de cookie httpSeulement dans PHP 5.2

Comme indiqué dans cet article, vous pouvez définir vous-même l'en-tête dans les versions précédentes de PHP

header("Set-Cookie: hidden=value; httpOnly");

Vous pouvez le spécifier dans la fonction set cookie voir le manuel php

setcookie('Foo','Bar',0,'/', 'www.sample.com'  , FALSE, TRUE);

Vous pouvez l'utiliser dans un fichier d'en-tête.

// setup session enviroment
ini_set('session.cookie_httponly',1);
ini_set('session.use_only_cookies',1);

De cette façon, tous les cookies de session futurs utiliseront httponly.

• Actualisé.

La bonne syntaxe de la commande php_flag est

php_flag  session.cookie_httponly On

Et soyez conscient, juste la première réponse du serveur, définissez le cookie et ici (par exemple, vous pouvez voir la directive "HttpOnly". Donc, pour tester, supprimez les cookies du navigateur après chaque demande de test.

Une solution plus élégante depuis PHP> = 7.0

session_start(['cookie_lifetime' => 43200,'cookie_secure' => true,'cookie_httponly' => true]);

session_start

options de session_start