Beim Cookie-Zugriff per JavaScript lassen sich Cookies aus dem Browser heraus lesen und setzen. Welche das sind und welche bewusst nicht.
- Cookie-Zugriff per JavaScript
Das Lesen und Setzen von Cookies über die Schnittstelle des Dokuments.
Beispiel: „Ein Cookie mit dem Merkmal HttpOnly ist für JavaScript unsichtbar.“
Was sichtbar ist
Über document.cookie sieht ein Skript alle Cookies der Domain, die nicht als HttpOnly gesetzt sind. Genau dieses Merkmal schützt Sitzungskennungen: Selbst wenn fremder Code auf der Seite läuft, kommt er nicht an die Anmeldung.
Was daraus folgt
Sitzungscookies gehören auf HttpOnly und Secure. Für eigene Einstellungen im Browser sind localStorage und sessionStorage meist bequemer, weil sie nicht bei jeder Anfrage mitgeschickt werden. Und: Was ohne Einwilligung gesetzt wird, muss technisch notwendig sein.