XSS攻击，全称跨站脚本攻击（Cross-Site Scripting），是一种常见的网络安全漏洞。攻击者通过在网页中嵌入恶意脚本代码，当用户浏览这些页面时，恶意脚本会在用户的浏览器中执行，导致攻击者可以获取用户的信息、操作用户的浏览器，从而达到窃取信息、伪装用户或者破坏正常网页结构的目的。XSS的危害极大，可以分为存储型XSS攻击、反射型XSS攻击和DOM型XSS攻击。
为防御XSS攻击，开发者通常会采取各种安全措施，其中使用HttpOnly属性是一种有效手段。HttpOnly是一个安全机制，可以用来防止跨站脚本攻击窃取Cookie。当Cookie被设置为HttpOnly后，客户端JavaScript代码将无法读取这个Cookie。这意味着，即使攻击者通过XSS漏洞在客户端注入了恶意脚本，也无法通过脚本访问到设置了HttpOnly的Cookie，从而保护了敏感信息不被窃取。
在PHP中设置HttpOnly的方法主要有以下几种：
1. 在php.ini文件中设置session.cookie_httponly参数。对于PHP5.1及以后版本，可以在php.ini文件中添加如下配置来开启HttpOnly：
```
session.cookie_httponly = 1
```
这将为所有通过PHP会话管理的Cookie开启HttpOnly属性。
2. 使用ini_set()函数动态设置session.cookie_httponly。适用于PHP5.1及以后版本，可以在脚本中调用：
```
ini_set("session.cookie_httponly", 1);
```
这种方式可以在特定脚本中动态开启HttpOnly属性，而不需要修改全局配置文件。
3. 使用setcookie()函数的第七个参数设置HttpOnly。适用于PHP5.1及以后版本，可以在发送Cookie时指定HttpOnly属性：
```
setcookie("cookie_name", "cookie_value", 0, "", "", false, true);
```
这里第七个参数true表示启用HttpOnly属性。
4. 对于PHP5.1之前的版本，可以使用header()函数直接在响应头中设置HttpOnly属性。这种方法是通过手动发送Set-Cookie响应头实现的，例如：
```
header("Set-Cookie: hidden=value; HttpOnly");
```
这样设置后，发送到客户端的Cookie会带有HttpOnly属性。
需要注意的是，HttpOnly虽然可以有效防止XSS攻击窃取Cookie，但它并不能解决所有XSS攻击的问题。例如，反射型XSS和DOM型XSS攻击往往不依赖于Cookie，因此除了使用HttpOnly之外，还需要通过其他安全措施来全面防御XSS攻击，比如内容安全策略（CSP）、输入验证、输出编码等。此外，由于Web浏览器和服务器实现的差异，HttpOnly可能对某些环境下的特定浏览器不生效。
开发者在实现HttpOnly功能时，还需要确保在应用程序的各个部分正确使用了这一机制，以便充分发挥其保护作用。在实际应用中，应当根据实际情况选择合适的方法来开启HttpOnly属性，同时还需要关注安全领域的最新动态，不断更新和维护网站的安全性。
