使用 httponly 防止 XSS 擷取cookie

一、php 5.2 以上

ini_set("session.cookie_httponly", 1);

二、 php5.1以前

header("Set-Cookie: hidden=value; httpOnly");

參考網址
http://php.net/manual/en/function.session-set-cookie-params.php