Estava a ler um artigo e achei curioso uma frase deste, onde o autor faz uma lista (logo nos primeiros parágrafos do artigo) dos principais cuidados relativamente a segurança que nós desenvolvedores devemos ter em conta.
A frase em questão é:
Criar cookies seguros, que só funcionem via HTTPS e que não sejam acessados por JavaScript;
A minha questão surge nesta parte, o que são cookies que "não sejam acessados por javascript"?
Por experiência própria nunca tive qualquer problema com as operações do lado cliente que envolviam cookies por causa deste ou semelhante motivo.
Obviamente falando no contexto http + browser (http + navegador).
Visto que esses cookies estão no nosso browser o que nos impede de os obter? Existe algum cookie/sessão que não esteja comtemplado em document.cookie
? Ou mesmo simplesmente vendo os headers da requisição (têm sempre de estar presentes aqui certo?)?
Também ponho a hipótese de o autor se ter enganado e não querer dizer bem isto.
session.cookie_secure = 0
que pode ser alterada parasession.cookie_secure = 1
. Porém só conseguirá criar uma sessão sob https.