待验证50% 置信事实精确时间
会话令牌通常以Cookie中的Session ID或JWT形式存在，后续请求凭此识别身份。若Cookie未设置HttpOnly，XSS脚本可直接读取；若未设置Secure，令牌可能经明文HTTP泄露；若未设置SameSite，则易受CSRF攻击。
1
来源数
50%
置信度
长期有效
时效性
2026/11/2
首次发现
来源
涉及实体
相关事实
待验证将 JWT 存储在 HTTP-only cookie 中可防止客户端 JavaScript 读取令牌，从而防御 XSS 窃取认证凭据80% 相似待验证Cookie通常设置HttpOnly标志，使JavaScript无法直接读取，以防范跨站脚本（XSS）攻击77% 相似待验证传统Web应用中主体身份通常通过JWT令牌、Session Cookie或OAuth 2.0的access token来确定72% 相似待验证httpOnly cookie 由服务端通过 Set-Cookie 响应头中的 HttpOnly 标记写入，任何 JavaScript（包括 document.cookie 与 Fetch/XHR）都无法读取或修改，只能由浏览器在匹配的请求中自动携带。71% 相似待验证Web端遵循RFC 6265标准Cookie规范，身份状态以HttpOnly、Secure标记的会话Cookie存储在浏览器沙箱中，不涉及设备级API调用69% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1127392API
curl https://kongchang.com/api/v1/knowledge/claims/1127392MCP
get_claim(id=1127392)