由http定義的一種請求方法，當客戶端發起乙個請求時，這個請求可能要穿過防火牆、**、閘道器或其他一些應用程式。每個中間節點都可能會修改原始的 http 請求。trace 方法允許客戶端在 最終將請求傳送給伺服器時，看看它變成了什麼樣子。
trace 請求會在目的伺服器端發起乙個 環迴 診斷。行程最後一站的伺服器會彈回一條 trace 響應，並在響應主體中攜帶它收到的原始請求報文。這樣客戶端就可以檢視在所有中間 http 應用程式組成的請求 / 響應鏈上，原始報文是否，以及如何被毀壞或修改過。如果cookie中設定了httponly屬性，那麼通過js指令碼將無法讀取到cookie資訊，這樣能有效的防止xss攻擊竊取cookie內容，
php5.2以上版本已支援httponly引數的設定同樣也支援全域性的httponly的設定，在php.ini中設定 session.cookie_httponly = 1
將開啟全域性的cookie的httponly屬性。
也可以通過**來實現
//或session_set_cookie_params(0, null, null, null, true);
?>
cst攻擊是一種使用xss和http trace功能來進行攻擊的方式。可以利用它避開httponly對cookie提供的保護，使之能夠通過客戶端j**ascript獲取已經標記為httponly的cookie值。正常情況下，客戶端指令碼（如js指令碼）是可以通過document.cookie函式獲得，這樣如果有xss跨站漏洞，cookie很容易被盜取。而瀏覽器有乙個安全策略，通過設定cookie的httponly屬性，這樣客戶端指令碼就不能通過document.cookie訪問該cookie，即時有跨站漏洞，也不能盜取使用者cookie。
響應主體中攜帶它收到的原始請求報文
從而使得客戶端成功執行構造的指令碼
跨站指令碼攻擊
跨站指令碼攻擊是眾所周知的攻擊方式之一。所有平台上的web應用都深受其擾，php應用也不例外。所有有輸入的應用都面臨著風險。webmail，code 複製內容到剪貼簿 code 複製php內容到剪貼簿 php echo name writes echo comment 這個流程對 comment及 ...
django csrf 防跨站攻擊
csrf 攻擊原理 django使用 csrfmiddleware 進行csrf防護，原理如下 1.它修改當前處理的請求，向所有的 post 表單增添乙個隱藏的表單字段，使用名稱是 csrfmiddlewaretoken，值為當前會話 id 加上乙個金鑰的雜湊值。如果未設定會話 id 該中介軟體將不...
跨站指令碼攻擊 XSS
跨站指令碼攻擊，cross site script，為了區別css，英文縮寫為xss xss攻擊，通常指hacker通過 html注入 篡改了網頁，插入惡意的指令碼，從而在使用者瀏覽網頁時，控制使用者瀏覽器的一種攻擊。xss根據效果的不同可以分為如下幾類 1.反射型xss 通過將使用者輸入的資料 反...