4.2.9.1. httponly

• 在cookie为httponly的情况下，可以通过xss直接在源站完成操作，不直接获取cookie。
• 在有登录操作的情况下，部分站点直接发送登录请求可能会带有cookie
• 部分特定版本的浏览器可能会在httponly支持/处理上存在问题
• 低版本浏览器支持 TRACE / TRACK，可获取敏感的header字段
• phpinfo 等页面可能会回显信息，这些信息中包含http头
• 通过xss劫持页面钓鱼
• 通过xss伪造oauth等授权请求，远程登录