django - csrftoken cookie 未通过安全测试 - 缺少标志

Question

我收到一个安全错误（来自 Pentest-Tools），说我的 Django 项目中缺少“Secure”和“HttpOnly”标志，并且不太确定如何补救。

我在我的模板中设置了以下内容

{% csrf_token %}

我读过您需要在标题中设置这些标志，但不确定这是否是解决方案。

设置Secure和HttpOnly标志的方法是什么？

标签： djangodjango-csrf

Answer 1

在您的 settings.py 上：

SESSION_COOKIE_SECURE = True

SESSION_COOKIE_HTTPONLY = True

如果您想了解更多信息，这个问题将详细介绍这些内容。希望有帮助。