Çerezde HttpOnly Eksik (ARCH5124)

Anahtar go.security.cookie-missing-httponly · Önem warning · Kategori security · CWE CWE-1004

HttpOnly bayrağı olmayan oturum veya kimlik çerezleri JavaScript ile okunabilir. Bu, XSS açığı durumunda çerezin çalınmasını mümkün kılar.

Hatalı

http.SetCookie(w, &http.Cookie{
    Name:  "session",
    Value: token,
})

Doğru

http.SetCookie(w, &http.Cookie{
    Name:     "session",
    Value:    token,
    HttpOnly: true,
    Secure:   true,
})

Düzeltme

Oturum ve kimlik çerezlerini HttpOnly: true ile ayarlayarak JavaScript erişimini engelleyin.