0Pricing
PHP Academy · บทเรียน

ความปลอดภัยของคุกกี้: แฟล็ก HttpOnly และ Secure

ปกป้องคุกกี้ด้วยแอตทริบิวต์ HttpOnly, Secure และ SameSite

ความปลอดภัยของคุกกี้: แฟล็ก HttpOnly และ Secure เป็นบทเรียน PHP Academy ฟรีบน CoddyKit นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน PHP Academy และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส PHP Academy มีบทเรียนทั้งหมด 4 บทเรียน

แฟล็ก HttpOnly

เมื่อคุกกี้มีแฟล็ก HttpOnly JavaScript จะเข้าถึงคุกกี้ผ่าน document.cookie ไม่ได้ จึงป้องกันการขโมยเซสชันที่อาศัย XSS

การตั้งค่า HttpOnly และ Secure

ใช้รูปแบบอาร์เรย์ตัวเลือก (PHP 7.3 ขึ้นไป) เพื่อให้โค้ดอ่านง่ายและเป็นระเบียบ

<?php
setcookie("session_id", $id, [
    "expires"  => time() + 3600,
    "path"     => "/",
    "secure"   => true,
    "httponly" => true,
    "samesite" => "Strict",
]);

แฟล็ก Secure

คุกกี้ Secure จะถูกส่งผ่าน HTTPS เท่านั้น เมื่อเชื่อมต่อผ่าน HTTP เบราว์เซอร์จะไม่ส่งคุกกี้นี้ จึงป้องกันการดักจับผ่าน HTTP แบบไม่เข้ารหัส

แอตทริบิวต์ SameSite

SameSite ควบคุมเวลาที่คุกกี้จะถูกส่งไปพร้อมกับคำขอข้ามไซต์:

  • Strict — เฉพาะคำขอจากไซต์เดียวกัน
  • Lax — คำขอจากไซต์เดียวกันและการนำทางระดับบนสุด
  • None — คำขอข้ามไซต์ (ต้องใช้ Secure)

SameSite และ CSRF

การตั้งค่า SameSite เป็น Strict หรือ Lax ช่วยลดความเสี่ยงจาก CSRF เนื่องจากคุกกี้เซสชันจะไม่ถูกส่งไปพร้อมกับคำขอ POST ข้ามไซต์ที่ถูกปลอมแปลง

การตั้งค่าคุกกี้เซสชันใน php.ini

กำหนดค่าความปลอดภัยเริ่มต้นของคุกกี้เซสชันขณะทำงาน:

<?php
ini_set("session.cookie_httponly", "1");
ini_set("session.cookie_secure",   "1");
ini_set("session.cookie_samesite", "Lax");
session_start();

คำนำหน้าคุกกี้

เบราว์เซอร์จะปฏิบัติตามคำนำหน้าชื่อคุกกี้:

  • __Secure- — คุกกี้ต้องมีแฟล็ก Secure
  • __Host- — ต้องมี Secure, Path=/ และไม่มีแอตทริบิวต์ Domain

ตัวอย่างคำนำหน้าคุกกี้

ใช้คำนำหน้า __Host- เพื่อผูกคุกกี้กับโฮสต์ที่แน่นอน

<?php
setcookie("__Host-session", $token, [
    "secure"   => true,
    "httponly" => true,
    "samesite" => "Strict",
    "path"     => "/",
]);

การตรวจสอบแฟล็กใน DevTools

ใน DevTools ของเบราว์เซอร์ → แอปพลิเคชัน → คุกกี้ ให้ตรวจสอบว่าเลือก HttpOnly แล้ว เลือก Secure แล้ว และ SameSite แสดงเป็น Strict หรือ Lax

เมื่อไม่มี HttpOnly

สคริปต์อันตรายที่ถูกแทรกผ่าน XSS สามารถเรียกใช้ document.cookie อ่านรหัสเซสชัน และส่งไปให้ผู้โจมตีได้ ซึ่งทำให้ผู้โจมตียึดบัญชีได้

เมื่อไม่มี Secure

ในไซต์ที่ใช้ HTTP และ HTTPS ปะปนกัน คุกกี้เซสชันจะถูกส่งเป็นข้อความธรรมดาผ่าน HTTP ผู้ดักฟังบนเครือข่ายจึงขโมยคุกกี้ได้

สรุป

ตั้งค่า HttpOnly และ Secure ให้กับคุกกี้เซสชันและคุกกี้ยืนยันตัวตนเสมอ เพิ่ม SameSite=Strict หรือ Lax และใช้รูปแบบอาร์เรย์ตัวเลือกของ setcookie()

ตรวจสอบอย่างรวดเร็ว

แฟล็กใดป้องกันไม่ให้ JavaScript อ่านคุกกี้

คำถามที่พบบ่อย

บทเรียน “ความปลอดภัยของคุกกี้: แฟล็ก HttpOnly และ Secure” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “ความปลอดภัยของคุกกี้: แฟล็ก HttpOnly และ Secure” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส PHP Academy ให้อัปเกรดเป็น CoddyKit PRO คอร์ส PHP Academy มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “ความปลอดภัยของคุกกี้: แฟล็ก HttpOnly และ Secure”

ปกป้องคุกกี้ด้วยแอตทริบิวต์ HttpOnly, Secure และ SameSite คุณปฏิบัติ PHP Academy ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน PHP Academy หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน PHP Academy บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน

บทเรียน “ความปลอดภัยของคุกกี้: แฟล็ก HttpOnly และ Secure” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน PHP Academy นี้ได้ไหม

ได้ บทเรียน PHP Academy ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

  1. การเริ่มต้นและใช้งานเซสชัน
  2. แนวทางปฏิบัติที่ดีด้านความปลอดภัยของเซสชัน
  3. การตั้งค่าและอ่านคุกกี้
  4. ความปลอดภัยของคุกกี้: แฟล็ก HttpOnly และ Secure
← กลับไปที่ PHP Academy