cookieのHttpOnly属性
HttpOnly Attribute
くっきーのえいちてぃーてぃーぴーおんりーぞくせい
cookieに付与すると、JavaScriptなどのスクリプトからそのcookieを参照したり変更したりできなくなる属性。クロスサイトスクリプティングの脆弱性を突かれても、スクリプトによるセッションIDの窃取を防げる。HTTPS通信のときだけcookieを送信させるSecure属性と併用する。
Related
関連キーワードの用語
外部から受け取るデータが期待される形式・範囲・長さであることを検証する処理。ホワイトリスト方式（許可する値のみ受け入れ）が推奨される。Webアプリケーションにおけるインジェクション系攻撃の根本的対策の一つであり、サーバ側での検証が必須となる。
HTMLやSQL、OSコマンドなどにおいて特別な意味を持つ文字（メタ文字）を無害な文字列に変換する処理。XSS対策では「<」「>」「&」「"」などをHTMLエンティティに変換し、SQLインジェクション対策ではシングルクォートなどをエスケープする。出力先のコンテキストに応じた適切なエスケープが重要。
Webブラウザに対して、ページ内で読み込み可能なリソースの提供元を制限するHTTPレスポンスヘッダ。スクリプト、スタイルシート、画像などのリソース種別ごとに許可するオリジンを指定でき、XSS攻撃やデータインジェクション攻撃の影響を軽減する。
WebサーバからブラウザにHTTPS接続を強制するHTTPレスポンスヘッダ。一度HSTSヘッダを受信したブラウザは、指定期間中は当該サイトへの接続を自動的にHTTPSに切り替え、中間者攻撃やSSLストリッピングを防止する。
スクリプトが読み込まれた出自（スキーム・ホスト・ポートの組）と異なるオリジンの資源へアクセスすることをブラウザが制限する仕組み。クロスサイトスクリプティングなどによる情報の持ち出しを抑える、Webの基本的な保護機構。
Same Origin Policyの制限を、サーバがHTTPレスポンスヘッダで明示的に許可することで安全に緩和する仕組み。Access-Control-Allow-Originに許可するオリジンを指定する。ワイルドカードの安易な指定は情報漏えいにつながる。