Set-CookieのSecureとHttpOnlyとは

# Cookie へのアクセスをブロック
>Cookie が安全に送信され、意図しない第三者やスクリプトからアクセスされないようにするには、 `Secure 属性`と `HttpOnly 属性`の 2 つの方法があります。
>
>```
>Set-Cookie: id=a3fWa; Expires=Thu, 21 Oct 2021 07:28:00 GMT; Secure; HttpOnly
>```
>Secure 属性がついた Cookie は、`HTTPS プロトコル上の暗号化されたリクエストでのみサーバーに送信`されます。安全でない HTTP では決して送信されないため、`中間者攻撃の攻撃者が簡単にアクセスすることはできません`。（URL に http: のついた）`安全でないサイトは、 Secure 属性を使用して Cookie を設定することができません`。ただし、Secure によって Cookie 内の機密情報へのアクセスをすべて防げると思ってはいけません。例えば、`クライアントのハードディスクへアクセスすることで（また、HttpOnly 属性が設定されていない場合は JavaScript から）読み取られる可能性`があります。

https://developer.mozilla.org/ja/docs/Web/HTTP/Cookies#:~:text=Cookie%20%E3%81%B8%E3%81%AE,%E5%BD%B9%E7%AB%8B%E3%81%A1%E3%81%BE%E3%81%99%E3%80%82

### secure属性をつけることで
* HTTPSプロトコル上の暗号化されたリクエストでのみサーバーに送信する
* 暗号化されているから中間者攻撃の攻撃者が簡単にアクセスすることはできない

### 弱点
* クライアントのハードディスクへアクセスすることで読み取られる可能性があります

https://eset-info.canon-its.jp/malware_info/special/detail/210112.html#:~:text=%E9%81%A0%E9%9A%94%E6%93%8D%E4%BD%9C%E3%82%92%E6%82%AA%E7%94%A8,%E3%81%A7%E3%81%8D%E3%82%8B%E5%A0%B4%E5%90%88%E3%82%82%E3%81%82%E3%82%8B%E3%80%82

>HttpOnly 属性を持つ Cookie は、 `JavaScript の Document.cookie API にはアクセスできません`。サーバーに送信されるだけです。例えば、`サーバー側のセッションを持続させる Cookie は JavaScript が利用する必要はないので、HttpOnly 属性をつけるべき`です。この予防策は、クロスサイトスクリプティング（XSS）攻撃を緩和するのに役立ちます。

https://developer.mozilla.org/ja/docs/Web/HTTP/Cookies

* JavaScript の Document.cookie API にはアクセスできません

https://developer.mozilla.org/ja/docs/Web/API/Document/cookie#:~:text=Document%20%E3%81%AE%20cookie%20%E3%83%97%E3%83%AD%E3%83%91%E3%83%86%E3%82%A3%E3%81%A7%E3%80%81%E6%96%87%E6%9B%B8%E3%81%AB%E9%96%A2%E9%80%A3%E4%BB%98%E3%81%91%E3%82%89%E3%82%8C%E3%81%9F%E3%82%AF%E3%83%83%E3%82%AD%E3%83%BC%E3%82%92%E8%AA%AD%E3%81%BF%E6%9B%B8%E3%81%8D%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%81%8C%E3%81%A7%E3%81%8D%E3%81%BE%E3%81%99%E3%80%82
 
* サーバー側のセッションを持続させる Cookie は JavaScript が利用する必要はないので、HttpOnly 属性をつけるべき

https://developer.mozilla.org/ja/docs/Web/HTTP/Headers/Set-Cookie#httponly:~:text=JavaScript%20%E3%81%8C%20Document.cookie%20%E3%83%97%E3%83%AD%E3%83%91%E3%83%86%E3%82%A3%E3%81%AA%E3%81%A9%E3%82%92%E4%BB%8B%E3%81%97%E3%81%A6%E3%81%93%E3%81%AE%E3%82%AF%E3%83%83%E3%82%AD%E3%83%BC%E3%81%AB%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%82%92%E7%A6%81%E6%AD%A2%E3%81%97%E3%81%BE%E3%81%99%E3%80%82%20%E3%81%AA%E3%81%8A%E3%80%81%20HttpOnly%20%E3%81%A7%E4%BD%9C%E6%88%90%E3%81%95%E3%82%8C%E3%81%9F%E3%82%AF%E3%83%83%E3%82%AD%E3%83%BC%E3%81%AF%E3%80%81JavaScript%20%E3%81%A7%E9%96%8B%E5%A7%8B%E3%81%95%E3%82%8C%E3%81%9F%E3%83%AA%E3%82%AF%E3%82%A8%E3%82%B9%E3%83%88%E3%80%81%E4%BE%8B%E3%81%88%E3%81%B0%E3%80%81%20XMLHttpRequest.send()%20%E3%82%84%20fetch()%20%E3%81%A8%E5%85%B1%E3%81%AB%E9%80%81%E4%BF%A1%E3%81%95%E3%82%8C%E3%81%BE%E3%81%99%E3%80%82%20%E3%81%93%E3%82%8C%E3%81%AB%E3%82%88%E3%82%8A%E3%80%81%E3%82%AF%E3%83%AD%E3%82%B9%E3%82%B5%E3%82%A4%E3%83%88%E3%82%B9%E3%82%AF%E3%83%AA%E3%83%97%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0%20(XSS)%20%E6%94%BB%E6%92%83%E3%82%92%E8%BB%BD%E6%B8%9B%E3%81%97%E3%81%BE%E3%81%99%E3%80%82

* Secure 属性とHttpOnly 属性はどのように追加するのか？
>```
>Set-Cookie: <cookie-name>=<cookie-value>; Secure
>Set-Cookie: <cookie-name>=<cookie-value>; HttpOnly
>...
>// 以下の例のように、複数のディレクティブも利用することができます。
>Set-Cookie: <cookie-name>=<cookie-value>; Domain=<domain-value>; Secure; HttpOnly
>```
https://developer.mozilla.org/ja/docs/Web/HTTP/Headers/Set-Cookie#:~:text=Set%2DCookie%3A%20%3Ccookie%2Dname%3E%3D%3Ccookie%2Dvalue%3E%3B%20Secure,cookie%2Dvalue%3E%3B%20Domain%3D%3Cdomain%2Dvalue%3E%3B%20Secure%3B%20HttpOnly