add supplement

Author: Dreamacro

README.md

@@ -29,6 +29,8 @@
 
 - `static`  默认值。没有定位，元素出现在正常的流中
 
+- `sticky` 生成粘性定位的元素，容器的位置根据正常文档流计算得出
+
 <br>
 
 
@@ -263,10 +265,12 @@ Xss(cross-site scripting)攻击指的是攻击者往Web页面里插入恶意 `ht
 首先，避免直接在`cookie` 中泄露用户隐私，例如email、密码等等。
 
 
-
 其次，通过使`cookie` 和系统`ip` 绑定来降低`cookie` 泄露后的危险。这样攻击者得到的`cookie` 没有实际价值，不可能拿来重放。
 
 
+如果网站不需要再浏览器端对`cookie` 进行操作，可以在`Set-Cookie` 末尾加上`HttpOnly` 来防止`javascript` 代码直接获取`cookie` 。
+
+
 尽量采用`POST` 而非`GET` 提交表单