如何修复Python Django项目中由于SESSION_COOKIE_HTTPONLY未开启的安全隐患？-Python教程-PHP中文网

必须开启session_cookie_httponly=true，否则xss漏洞下javascript可直接读取sessionid窃取会话；设为true后浏览器禁止js访问，仅自动随http请求发送，是防御会话劫持的基础防线。

如何修复python django项目中由于session_cookie_httponly未开启的安全隐患？

必须开启 SESSION_COOKIE_HTTPONLY=True，否则会话 Cookie 可被 XSS 注入的 JS 直接读取，等同于暴露用户登录态。

为什么必须设为 True？

默认情况下 Django 的 SESSION_COOKIE_HTTPONLY 是 False，意味着 JavaScript 可通过 document.cookie 读取 sessionid。一旦页面存在 XSS 漏洞，攻击者就能窃取该值，直接伪造会话发起请求——相当于拿走了用户的“门禁卡”。

设为 True 后，浏览器会拒绝 JS 访问该 Cookie，仅在 HTTP 请求头中自动携带，这是防御 XSS 劫持会话的最低成本、最基础防线。

不依赖前端代码是否规范，由浏览器强制执行
不影响正常登录、登出、CSRF 校验等任何后端逻辑
对已有用户无感知，无需迁移或重签 session

settings.py 中怎么配才安全？

仅设置 SESSION_COOKIE_HTTPONLY=True 不够，需配套加固其他关键属性：

SESSION_COOKIE_HTTPONLY=True：阻止 JS 读取 sessionid
SESSION_COOKIE_SECURE=True：确保只在 HTTPS 下发送，防止明文传输劫持（生产环境必须）
SESSION_COOKIE_SAMESITE='Lax' 或 'Strict'：限制跨站请求携带会话 Cookie，缓解 CSRF（推荐 'Lax' 兼容性更好）
CSRF_COOKIE_HTTPONLY=True：同理保护 csrftoken（注意：启用后 JS 必须从 <input type="hidden" name="csrfmiddlewaretoken"> 读值，不能从 cookie 读）

示例片段：

SESSION_COOKIE_HTTPONLY = True
SESSION_COOKIE_SECURE = True
SESSION_COOKIE_SAMESITE = 'Lax'

CSRF_COOKIE_HTTPONLY = True
CSRF_COOKIE_SECURE = True
CSRF_COOKIE_SAMESITE = 'Lax'

开了之后前端 AJAX 怎么传 CSRF token？

如果同时启用了 CSRF_COOKIE_HTTPONLY=True，fetch 或 axios 就不能再从 document.cookie 提取 csrftoken 了。

正确做法是服务端在模板里把 token 塞进隐藏域，前端 JS 从中读取：

Python 3.14.2

Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。

下载

<input type="hidden" name="csrfmiddlewaretoken" value="{{ csrf_token }}">

然后 JS 获取它：

const token = document.querySelector('[name=csrfmiddlewaretoken]').value;

再附到请求头：

headers: { 'X-CSRFToken': token }

注意：CSRF_COOKIE_HTTPONLY 对安全性提升有限（XSS 已成前提），但审计常强制要求；若你没用 AJAX 提交表单，其实可以不设，但 SESSION_COOKIE_HTTPONLY 绝对不能省。

如何验证是否生效？

打开浏览器开发者工具 → Application → Cookies，检查 sessionid 和 csrftoken 对应行的 “HttpOnly” 列是否打钩；

再切到 Console，执行：

document.cookie.includes('sessionid')

返回 false 才算成功。如果仍返回 true，说明配置未加载（比如改了 settings 但没重启服务）或被中间件/反向代理覆盖。

最容易被忽略的是：本地开发时用了 HTTP 协议却开了 SESSION_COOKIE_SECURE=True，导致 Cookie 根本不下发——此时浏览器不会报错，但登录后立刻掉会话。务必确认协议与配置匹配。

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！