Cómo configurar el uso de cookies HttpOnly en PHP

Para las propias cookies de sesión de PHP en Apache:
agregue esto a su configuración de Apache o .htaccess

<IfModule php5_module>
    php_flag session.cookie_httponly on
</IfModule>

Esto también se puede establecer dentro de un script, siempre y cuando se llame antes de session_start().

ini_set( 'session.cookie_httponly', 1 );

Tenga en cuenta que HttpOnly no detiene el cross-site scripting; en su lugar, neutraliza un posible ataque, y actualmente lo hace solo en IE (FireFox expone cookies HttpOnly en XMLHttpRequest, y Safari no lo respeta en absoluto). Por todos los medios, encienda HttpOnly, pero no pierda ni una hora de filtrado de salida y pruebas de fuzz en el comercio por él.

Tenga en cuenta que las cookies de sesión PHP no utilizan httponly por defecto.

Para hacer eso:

$sess_name = session_name();
if (session_start()) {
    setcookie($sess_name, session_id(), null, '/', null, null, true);
}

Un par de puntos de nota aquí:

• Tienes que llamar session_name() antes session_start()
• Esto también establece la ruta predeterminada a'/', que es necesario para Opera pero que PHP las cookies de sesión no funcionan de forma predeterminada bien.

Explicación aquí de Ilia... 5.2 aunque

Compatibilidad con HttpOnly cookie flag en PHP 5.2

Como se indica en ese artículo, puede establecer el encabezado usted mismo en versiones anteriores de PHP

header("Set-Cookie: hidden=value; httpOnly");

<?php
//None HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, FALSE); 

//HttpOnly cookie:
setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE); 

?>

Fuente

Puede especificarlo en la función set cookie ver el manual de php

setcookie('Foo','Bar',0,'/', 'www.sample.com'  , FALSE, TRUE);

Puede usar esto en un archivo de encabezado.

// setup session enviroment
ini_set('session.cookie_httponly',1);
ini_set('session.use_only_cookies',1);

De esta manera todas las futuras cookies de sesión usarán httponly.

• Actualizado.

La sintaxis correcta del comando php_flag es

php_flag  session.cookie_httponly On

Y tenga en cuenta, solo la primera respuesta del servidor establecer la cookie y aquí (por ejemplo, se puede ver la directiva "HttpOnly". Por lo tanto, para probar, elimine las cookies del navegador después de cada solicitud de prueba.