Laravel网站经OWASP ZAP扫描遇两类警告及Cookie问题解决

一、Cookie未设置HttpOnly标志告警的解决 #

扫描时遇到「Cookie No HttpOnly flag」告警，即便修改config/session.php中的http_only和secure为true仍无法消除该告警，可通过以下方式解决：

在app/Http/Middleware/VerifyCsrfToken中间件中添加如下函数，强制为XSRF-TOKEN Cookie应用session配置中的HttpOnly和Secure参数：

protected function addCookieToResponse($request, $response)
{
    $config = config('session');

    $response->headers->setCookie(
        new Cookie('XSRF-TOKEN',
            $request->session()->token(),
            $config['lifetime'],
            $config['path'],
            $config['domain'],
            $config['secure'],
            $config['http_only'])
    );

    return $response;
}

二、「Cloud Metadata Potentially Exposed」告警含义 #

该告警指你的网站存在泄露云服务器元数据的风险。

云服务提供商（如AWS、阿里云等）的云实例通常内置元数据服务，通过特定内网地址（例如AWS的169.254.169.254）可获取实例的敏感信息，包括IAM访问密钥、实例配置、网络信息等。若攻击者通过请求篡改、SSRF等手段，利用你的网站发起对元数据服务的访问，就能窃取这些敏感数据。ZAP检测到网站存在这类可被利用的请求路径或配置时，就会触发此告警。

内容的提问来源于stack exchange，提问作者Mohamad Irfan Manaf