Cookie Security: HTTPOnly not Set on Session Cookie

O programa cria um cookie, mas não consegue definir o sinalizador HttpOnly como true.

Os principais navegadores são compatíveis com a propriedade de cookie HttpOnly para impedir que scripts do lado do cliente acessem o cookie. Ataques de criação de script entre sites muitas vezes acessam cookies em uma tentativa de roubar identificadores de sessão ou tokens de autenticação. Com o sinalizador HttpOnly desativado, os invasores têm acesso mais fácil aos cookies do usuário.
Exemplo 1: O seguinte código cria um cookie de sessão sem configurar o sinalizador HttpOnly como true.

session_set_cookie_params(0, "/", "www.example.com", true, false);

O aplicativo falha em definir o sinalizador HttpOnly como true para os cookies de sessão.

Os navegadores são compatíveis com a propriedade de cookie HttpOnly, a qual impede que scripts do lado do cliente acessem o cookie. Ataques de Cross-Site Scripting muitas vezes acessam cookies em uma tentativa de roubar identificadores de sessão ou tokens de autenticação. Sem HttpOnly habilitado, os invasores podem acessar cookies de usuário com mais facilidade.

Exemplo 1: As configurações abaixo definem explicitamente os cookies de sessão sem definir a propriedade HttpOnly.

...
MIDDLEWARE = (
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'csp.middleware.CSPMiddleware',
    'django.middleware.security.SecurityMiddleware',
    ...
)
...
SESSION_COOKIE_HTTPONLY = False
...