Rails 2.0・その１３(http only cookie をサポート)

XSS　クロス・サイト・スクリプティングで問題として真っ先に上げられそうな、cookie の値を javascript で取ってくる、ということが出来ないクッキーのことです。

それを http only cookie と言ったりしますが、その設定が出来るようになりました。

options = { "name" => "quality", "value" => "owesome", "http_only" => true }
cookie = CGI::Cookie.new(options)

http only クッキーとはなんぞや、の方は、

T.Teradaの日記や
Mitigating Cross-site Scripting With HTTP-only Cookiesがお勧めです。