A web application configures client cookies with the HTTPOnly flag. What is the effect of this flag?

Đáp án đúng: "It forces the web browser to have the cookies processed only by the server.". Cờ HttpOnly báo cho trình duyệt rằng cookie chỉ được gửi kèm trong các yêu cầu HTTP tới máy chủ và không cho mã phía máy khách như JavaScript đọc qua document.cookie; nhờ vậy nếu trang dính lỗi XSS (cross-site scripting), kẻ tấn công khó đánh cắp cookie phiên. "It indicates to the web browser that web client-based code can access the cookie." nói ngược hẳn tác dụng của cờ: HttpOnly chính là để chặn mã phía máy khách truy cập cookie. "It requires the web browser to establish a secure HTTPS link to the server." mô tả cờ Secure, cờ buộc cookie chỉ được gửi qua kết nối HTTPS; hai cờ thường được dùng cùng nhau nhưng có chức năng khác nhau. "It informs the web client that the cookie is a persistent cookie." sai vì tính lâu dài của cookie do thuộc tính Expires hoặc Max-Age quyết định, cookie thiếu chúng là cookie phiên (session cookie) bị xóa khi đóng trình duyệt.