Как включить httpOnly для сессионных cookie?

Question

[Посторонним В.]

На сайте сессия заводится с помощью session_start(), но при этом сессионные cookies доступны всем пользовательским приложениям (не стоит флаг httpOnly). Как включить для сессионных куки httpOnly? В php.ini есть директива session.cookie_httponly , но на хостинге я к этому файлу конечно же доступа не имею. Как быть?

Answer 1

[Konstantin Coocheenin]

Учитывая дату вопроса вам уже скорее всего не актуально, но чтобы вопрос не висел без ответа.

Вариантов два:

Прописать в файле .htaccess
php_value session.cookie_httponly 1

Либо в начале каждого скрипта php включать поддержку cookie_httponly запуском ini_set():
ini_set('session.cookie_httponly', 1);