HttpOnly Olmayan Çerez (ARCH4124)

Anahtar java.security.cookie-missing-httponly · Önem warning · Kategori security · CWE CWE-1004

HttpOnly bayrağı olmayan oturum çerezleri JavaScript tarafından okunabilir; bu da XSS ile çerez hırsızlığına olanak tanır. Kimlik çerezlerini her zaman HttpOnly ile işaretleyin.

Hatalı

Cookie cookie = new Cookie("SESSION", token);
cookie.setSecure(true);
response.addCookie(cookie); // HttpOnly yok -> JS erişebilir

Doğru

Cookie cookie = new Cookie("SESSION", token);
cookie.setHttpOnly(true);
cookie.setSecure(true);
response.addCookie(cookie);

Düzeltme

Oturum/kimlik çerezlerinde setHttpOnly(true) çağırın.