JavaScript无法设置HttpOnly属性，因该属性必须由服务端在Set-Cookie响应头中声明；document.cookie仅能操作非HttpOnly Cookie且不支持添加安全属性；HttpOnly是协议层防护，旨在阻断脚本访问路径。
JavaScript 无法在 Cookie 中设置 HttpOnly 属性，这不是操作方式问题，而是浏览器安全机制的硬性限制——HttpOnly 必须由服务端在 Set-Cookie 响应头中声明，前端 JavaScript 完全无权添加、修改或“模拟”该属性。
为什么 document.cookie = "key=val; HttpOnly" 无效？
这种写法看似合理，实则完全错误：
- 浏览器会把
HttpOnly当作 cookie 值的一部分（比如存下key=val; HttpOnly这个字符串），而不是识别为安全标志； -
document.cookie只能读写非 HttpOnly 的 Cookie，且不支持附加任何安全属性（HttpOnly、Secure、SameSite 等）； - HttpOnly 是 HTTP 协议层的防护设计，初衷就是切断脚本访问路径——如果 JS 能设，整个防护就失效了。
真正有效的 HttpOnly 设置方式（服务端控制）
所有含身份凭证的 Cookie（如 sessionid、auth_token）必须由后端在首次响应时统一设置：
-
PHP：
setcookie('sessionid', 'abc123', ['httponly' => true, 'secure' => true, 'samesite' => 'Lax']); -
Node.js / Express：
res.cookie('sessionid', 'abc123', { httpOnly: true, secure: true, sameSite: 'Lax' }); -
Spring Boot：用
ResponseCookie.from().httpOnly(true).secure(true).sameSite("Lax")构建并写入响应头； -
原生 Servlet：创建
Cookie对象后调用setHttpOnly(true)，再通过response.addCookie()发送。
验证是否生效的两个关键检查
设置后不能只看代码，要实际验证：
立即学习“Java免费学习笔记（深入）”；
- 打开浏览器开发者工具 → Application → Cookies，找到对应条目，确认 HttpOnly 列显示为 ✅；
- 在 Console 中执行
document.cookie，确认该 Cookie 完全不出现在返回结果里（不是空字符串，是彻底不可见）。
HttpOnly 不是万能解药，必须组合使用
它只解决“XSS 成功后 Cookie 不被窃取”这一环，不防 XSS 本身，也不防其他风险：
- 务必搭配 Secure（仅 HTTPS 传输），否则明文 HTTP 下仍可能被中间人截获；
- 建议加上 SameSite=Lax，协同防御 CSRF；
- 服务端仍需对用户输入做白名单过滤或上下文适配的输出编码（HTML/JS/URL 场景不同，编码方式不同）；
- 敏感操作（如转账、密码修改）应引入二次验证或一次性 Token，不单靠 Cookie 鉴权。
