Cookie Security: HTTPOnly not Set on Session Cookie

O programa cria um cookie, mas não consegue definir o sinalizador HttpOnly como true.

Os principais navegadores são compatíveis com a propriedade de cookie HttpOnly, a qual impede que scripts do lado do cliente acessem o cookie. Ataques de Cross-Site Scripting muitas vezes acessam cookies em uma tentativa de roubar identificadores de sessão ou tokens de autenticação. Sem HttpOnly habilitado, os invasores podem acessar cookies de usuário com mais facilidade.
Exemplo 1: O seguinte código cria um cookie de sessão sem configurar o parâmetro HttpOnly como true.

session_set_cookie_params(0, "/", "www.example.com", true, false);

O aplicativo falha em definir o sinalizador HttpOnly como true para os cookies de sessão.

Os navegadores são compatíveis com a propriedade de cookie HttpOnly, a qual impede que scripts do lado do cliente acessem o cookie. Ataques de Cross-Site Scripting muitas vezes acessam cookies em uma tentativa de roubar identificadores de sessão ou tokens de autenticação. Sem HttpOnly habilitado, os invasores podem acessar cookies de usuário com mais facilidade.

Exemplo 1: As configurações abaixo definem explicitamente os cookies de sessão sem definir a propriedade HttpOnly.

...
MIDDLEWARE = (
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'csp.middleware.CSPMiddleware',
    'django.middleware.security.SecurityMiddleware',
    ...
)
...
SESSION_COOKIE_HTTPONLY = False
...