4.2.9.1. httponly

• 在cookie为httponly的情况下，可以通过xss直接在源站完成操作，不直接获取cookie。

• 在有登录操作的情况下，部分站点直接发送登录请求可能会带有cookie

• 部分特定版本的浏览器可能会在httponly支持/处理上存在问题

• 低版本浏览器支持 TRACE / TRACK，可获取敏感的header字段

• phpinfo 等页面可能会回显信息，这些信息中包含http头

• 通过xss劫持页面钓鱼

• 通过xss伪造oauth等授权请求，远程登录