0Pricing
PHP Academy · Lekcja

Bezpieczeństwo ciasteczek: flagi HttpOnly i Secure

Chroń ciasteczka za pomocą atrybutów HttpOnly, Secure i SameSite

Bezpieczeństwo ciasteczek: flagi HttpOnly i Secure to bezpłatna lekcja PHP Academy na CoddyKit. To lekcja 4 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej PHP Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs PHP Academy zawiera 4 lekcji w sumie.

Flaga HttpOnly

Gdy ciasteczko ma flagę HttpOnly, JavaScript nie może uzyskać do niego dostępu za pomocą document.cookie, co zapobiega kradzieży sesji przez XSS.

Ustawianie flag HttpOnly i Secure

Użyj postaci z tablicą opcji (PHP 7.3+), aby uzyskać przejrzysty i czytelny kod.

<?php
setcookie("session_id", $id, [
    "expires"  => time() + 3600,
    "path"     => "/",
    "secure"   => true,
    "httponly" => true,
    "samesite" => "Strict",
]);

Flaga Secure

Ciasteczko Secure jest wysyłane wyłącznie przez HTTPS. W połączeniach HTTP przeglądarka je pomija, zapobiegając przechwyceniu przez niezabezpieczony protokół HTTP.

Atrybut SameSite

SameSite określa, kiedy ciasteczka są wysyłane wraz z żądaniami między witrynami:

  • Strict — tylko żądania z tej samej witryny
  • Lax — żądania z tej samej witryny oraz nawigacje najwyższego poziomu
  • None — żądania między witrynami (wymaga Secure)

SameSite a CSRF

Ustawienie SameSite na Strict lub Lax ogranicza ryzyko CSRF, ponieważ ciasteczko sesji nie jest wysyłane wraz z sfałszowanymi żądaniami POST między witrynami.

Ustawienia ciasteczek sesji w php.ini

Skonfiguruj domyślne zabezpieczenia ciasteczek sesji w czasie działania programu:

<?php
ini_set("session.cookie_httponly", "1");
ini_set("session.cookie_secure",   "1");
ini_set("session.cookie_samesite", "Lax");
session_start();

Prefiksy ciasteczek

Przeglądarki respektują prefiksy nazw ciasteczek:

  • __Secure- — ciasteczko musi mieć flagę Secure
  • __Host- — musi mieć flagę Secure, Path=/ i nie może mieć atrybutu Domain

Przykład prefiksu ciasteczka

Użyj prefiksu __Host-, aby powiązać ciasteczko z dokładnym hostem.

<?php
setcookie("__Host-session", $token, [
    "secure"   => true,
    "httponly" => true,
    "samesite" => "Strict",
    "path"     => "/",
]);

Sprawdzanie flag w DevTools

W DevTools przeglądarki → Application → Cookies sprawdź: HttpOnly zaznaczone, Secure zaznaczone, SameSite ustawione na Strict lub Lax.

Brak flagi HttpOnly

Złośliwy skrypt wstrzyknięty przez XSS może wykonać document.cookie, odczytać identyfikator sesji i wysłać go atakującemu, przejmując konto.

Brak flagi Secure

W witrynie używającej zarówno HTTP, jak i HTTPS ciasteczko sesji jest wysyłane jawnym tekstem przez HTTP. Osoba podsłuchująca ruch sieciowy może je ukraść.

Podsumowanie

Zawsze ustawiaj HttpOnly i Secure dla ciasteczek sesji oraz uwierzytelniania. Dodaj SameSite=Strict lub Lax. Używaj postaci setcookie() z tablicą opcji.

Szybkie sprawdzenie

Która flaga uniemożliwia JavaScriptowi odczyt ciasteczka?

Często zadawane pytania

Czy lekcja „Bezpieczeństwo ciasteczek: flagi HttpOnly i Secure” jest bezpłatna?

Tak — pełny tekst „Bezpieczeństwo ciasteczek: flagi HttpOnly i Secure” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu PHP Academy, przejdź na CoddyKit PRO. Kurs PHP Academy zawiera 4 lekcji w sumie.

Co nauczysz się w „Bezpieczeństwo ciasteczek: flagi HttpOnly i Secure”?

Chroń ciasteczka za pomocą atrybutów HttpOnly, Secure i SameSite Ćwiczysz PHP Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć PHP Academy?

Nie wymagamy żadnego doświadczenia. PHP Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 4 z 4.

Ile czasu zajmuje lekcja „Bezpieczeństwo ciasteczek: flagi HttpOnly i Secure”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji PHP Academy?

Tak. Każda lekcja PHP Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

  1. Rozpoczynanie i używanie sesji
  2. Dobre praktyki bezpieczeństwa sesji
  3. Ustawianie i odczytywanie ciasteczek
  4. Bezpieczeństwo ciasteczek: flagi HttpOnly i Secure
← Powrót do PHP Academy