有没有办法在 Google AppEgine 中将所有 cookie 配置为 HttpOnly？答案

【问题标题】：Is there a way to configure all cookies to be HttpOnly in Google AppEgine?有没有办法在 Google AppEgine 中将所有 cookie 配置为 HttpOnly？
【发布时间】：2015-07-11 02:13:04
【问题描述】：

我在 Python 中使用 Google AppEngine 平台，出于安全原因，我正在寻找一种将所有 cookie 配置为 HttpOnly 的方法。我的意思是，我想要做的是让平台使用的每个 cookie 都成为 HttpOnly，我被告知这可能是一种通常的方式，比如“cookie 生成器”，但我不是能够找到它。

非常感谢您。

【问题讨论】：

标签： python google-app-engine cookies

【解决方案1】：

大多数框架都为您提供了创建 cookie 的方法，并且HttpOnly 支持非常标准。如果您使用webapp2 this method 可用：

# Saves a cookie in the client.
response.set_cookie('some_key', 'value', max_age=360, path='/', httponly=True)

但是 cookie 并没有什么神奇之处，它只是一个带有一些 simple format 的字符串，所以你总是可以做这样的事情：

self.response.headers.add_header("Set-Cookie", "some_key=value; Path=/; Expires=Wed, 13 Jan 2021 22:23:01 GMT; HttpOnly")

【讨论】：

第一种方法是我发现的用于单个 cookie 的方法，所以我正在寻找一般的方法，如果有的话。我看到的第二个与第一个或多或少相似，对于单个 cookie，我猜。不管怎样，谢谢你的回复，我现在就用那个。
第二个是最通用的，您明确设置响应的标头，您可以使用任何 http 库来执行此操作。