Ở đây một số bạn sẽ thắc mắc là tại sao không dùng script ở trong “Console” ví dụ như là “document.cookie” để xem cookie.Theo mặc định một số giá trị cookie của facebook sẽ được gắn flag HttpOnly.
Flag này có tác dụng làm cho cookie đó chỉ có thể sử dụng bởi server mà không bị thao tác bởi các script phía người dùng. Điều này để tránh các cuộc tấn công XSS. Các bạn có thể thử tác dụng của flag này bằng cách là bỏ tick ở cột HttpOnly.Khi xem cookie của facebook các bạn có thể thấy facebook có lưu một số giá trị cookie như “c_user”, “datr”, “fr”, “locale”, “presence”, “sb”, “spin”, “wd”, “xs”. Các giá trị này dùng để xác định người dùng, phiên đăng nhập, timestamp, trạng thái trò chuyện (tab trò chuyện nào đang mở) …Ở đây ta quan tâm đến 2 giá trị cookie là “c_user” và “xs”: