Cookie Security: HTTPOnly not Set on CSRF Cookie

응용 프로그램이 CSRF 쿠키에 대해 HttpOnly 플래그를 true로 설정하지 못합니다.

브라우저에서는 클라이언트 쪽 스크립트의 쿠키 액세스를 방지하는 HttpOnly 쿠키 속성을 지원합니다. Cross-Site Scripting 공격은 세션 ID 또는 인증 토큰을 도용하기 위해 쿠키에 액세스하는 경우도 있습니다. HttpOnly가 활성화되어 있지 않으면 공격자가 사용자 쿠키에 더 쉽게 액세스할 수 있습니다.

예제 1:django.middleware.csrf.CsrfViewMiddleware Django 미들웨어를 사용하는 경우 HttpOnly 속성을 설정하지 않고 CSRF 쿠키가 전송됩니다.

...
MIDDLEWARE = (
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'csp.middleware.CSPMiddleware',
    'django.middleware.security.SecurityMiddleware',
    ...
)
...