HttpOnly Cookie必须由服务端在Set-Cookie响应头中声明，前端JS无法创建；其作用是禁止JavaScript访问Cookie以防范XSS窃取，但需配合Secure和SameSite才完整有效。
如何在服务端设置 HttpOnly Cookie（非前端 JS 创建）
HTML 本身无法创建 HttpOnly Cookie——这个属性只能由服务端在 Set-Cookie 响应头中声明，浏览器才会拒绝 JavaScript 通过 document.cookie 读取它。前端用 document.cookie = "a=1; HttpOnly" 完全无效，且不会报错，只是静默忽略 HttpOnly 字段。
实操要点：
- 必须由后端在响应中输出形如
Set-Cookie: sessionid=abc123; Path=/; HttpOnly; Secure; SameSite=Lax的头部 -
HttpOnly是一个布尔标记，不带值（不能写成HttpOnly=true） - 搭配
Secure使用才安全：否则 HTTP 明文传输时，HttpOnly仍可能被中间人窃取 - Node.js（Express）示例：
res.cookie("token", "xyz", { httpOnly: true, secure: true, sameSite: "lax" }) - PHP 示例：
setcookie("user_id", "42", ["httponly" => true, "secure" => true, "samesite" => "Lax"])
验证 HttpOnly 是否生效的两种可靠方式
不能靠 document.cookie 是否显示来判断——它本来就不显示 HttpOnly Cookie。真正有效的验证路径只有两个：
- 打开浏览器开发者工具 → Application（或 Storage）→ Cookies → 查看对应域名下的条目 → 检查某条 Cookie 的 “HttpOnly” 列是否为 ✅
- 在控制台执行
document.cookie，确认敏感字段（如sessionid）**完全不出现**——如果出现了，说明后端没设对，或路径/域名不匹配导致未生效 - 抓包验证更彻底：用 Chrome Network 或
curl -v看响应头里是否有Set-Cookie: ...; HttpOnly;（注意分号结尾和空格）
HttpOnly 能防什么、不能防什么
HttpOnly 只解决一个具体问题：阻止 XSS 攻击者用 document.cookie 直接窃取 Cookie 内容。但它不是万能盾：
立即学习“前端免费学习笔记（深入）”；
- ✅ 防止
<script>fetch("/api/user", {credentials:"include"})</script>这类请求自动携带 Cookie 后，再通过 JS 读取其值 - ❌ 不阻止 Cookie 被自动发送——XSS 脚本仍可发起带凭证的请求（比如删账号、转账），只要目标接口没做二次校验（如 CSRF Token）
- ❌ 不影响 Cookie 的生命周期、作用域（
Path/Domain）配置错误导致的越权泄露 - ❌ 如果后端把敏感信息（如用户 ID、权限）明文塞进
HttpOnlyCookie，攻击者虽读不到，但可通过反复操作+服务端响应推测，仍属设计缺陷
常见踩坑：为什么设置了 HttpOnly 却还是能被 JS 读到？
最常发生的不是设置失败，而是「你以为设置了，其实根本没发出去」：
- 后端代码逻辑跳过 cookie 设置分支（比如未登录时也执行了 set-cookie，但条件判断漏掉）
- Cookie 的
Domain设成example.com，但当前页面在app.example.com—— 浏览器按规则不发送，自然也不会出现在 Application 面板中 - 开发环境用
http://localhost:3000，却设置了Secure，导致浏览器直接丢弃该 Cookie（Secure只允许 HTTPS 下发送） - 前端用
fetch时没加credentials: "include"，误以为 Cookie 没生效；其实它只是没随请求发出，和HttpOnly无关
真正难调试的，是 Cookie 作用域与请求上下文之间的隐式匹配逻辑——它不报错，只沉默失效。
