cookie属性及特点
1、cookies信息指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据（通常经过加密）。基于Internet的各种服务系统应运而生，建立商业站点或者功能比较完善的个人站点，常常需要记录访问者的一些信息。
2、HttpOnly属性：无法通过脚本程序（js）读取到cookie信息，有效防止XSS攻击。
3、cookies中文名称为小型文本文件，指某些网站为了辨别用户身份而储存在用户本地终端（Client Side）上的数据（通常经过加密）。清除cookies是指在终端上清除这些可以识别身份的数据，保护个人隐私。cookies定义于RFC2109。
4、Cookies是一种能够让网站服务器把少量数据储存到客户端的硬盘或内存，或是从客户端的硬盘读取数据的一种技术。
5、因为“Cookie”具有保存在客户端的神奇属性，它可以帮助我们记录用户的个人信息，而无需使用复杂的CGI程序。例如，Web站点可以为每个访问者生成一个惟一的ID，并将其作为Cookie文件存储在每个用户的机器上。
如何在jetty服务器层面解决XSS漏洞?
1、对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
2、）重要的信息一定要加密 总之就是既要做好过滤与编码并使用参数化语句，也要把重要的信息进行加密处理，这样sql注入漏洞才能更好的解决。
3、没用到富文本的话可以用spring里的HtmlUtils.htmlEscape(string str)来对parameter转码。
4、主要指的自己构造XSS跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。如当我们要渗透一个站点，我们自己构造一个有跨站漏洞的网页，然后构造跨站语句，通过结合其它技术，如社会工程学等，欺骗目标服务器的管理员打开。
5、那就写个过滤器，把有小于号大于号等等，与标签或者SQL有关的全部替换，然后再存进数据库。具体换成什么，自己决定吧。
Cookie特性详解
(2)Expires属性：设置Cookie的生存期。有两种存储类型的Cookie：会话性与持久性。Expires属性缺省时，为会话性Cookie，仅保存在客户端内存中，并在用户关闭浏览器时失效。(3)Path属性：定义了Web站点上可以访问该Cookie的目录。
Cookie是存储在用户计算机上的小文件。Cookie，有时也用其复数形式 Cookies。
Cookie 可以翻译为“小甜品，小饼干” ，Cookie 几乎在所有的 *** 中都会出现，Cookie 实际上是指小量信息，是由 Web 服务器创建的，将信息存储在用户计算机上的文件。
会话性与持久性。Expires属性缺省时，为会话性Cookie，仅保存在客户端内存中，并在用户关闭浏览器时失效。持久性Cookie会保存在用户的硬盘中，直至生存期到或用户直接在网页中单击“注销”等按钮结束会话时才会失效 。
session是存储在服务器端的，cookie是存储在客户端的，所以session的安全性要高于cookie。再者，我们获取的session里的信息是通过存放在会话cookie里的sessionId获取的。
cookie数据存放在客户的浏览器上，session数据放在服务器上。cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗考虑到安全应当使用session。session会在一定时间内保存在服务器上。
xss漏洞获取cookie怎么解决方案
XSS获取cookie并利用 获取cookie利用代码cookie.asp xx 把上述文件保存为cookie.asp文件，放到你自己的网站服务器下。比如这里我们自己搭建的服务器为：http：//6196：8080。
这样，我们只要利用XSS平台的指定页面源码读取模块即可通过XSS获取用户的完整cookie。
不同标签获取cookie的xss命令的 *** 一样，具体 *** 如下。首先写一个获取cookie的脚本。将该脚本上传到目录。将构造的XSS的payload插入到DVWA页面。去虚拟机里面查看，发现获取到了当前用户的cookie即可。
HttpOnly防止劫取Cookie HttpOnly最早由微软提出，至今已经成为一个标准。浏览器将禁止页面的Javascript访问带有HttpOnly属性的Cookie。目前主流浏览器都支持，HttpOnly解决是XSS后的Cookie支持攻击。我们来看下百度有没有使用。
如何防御XSS攻击？[if ！supportLists][endif]对输入内容的特定字符进行编码，列如表示html标记等符号。[if ！supportLists][endif]对重要的cookie设置httpOnly，防止客户端通过document。