JavaScript 无法设置 Cookie 的 HttpOnly 属性，因该属性仅由服务端通过 Set-Cookie 响应头声明才生效；前端设置会被忽略，且 HttpOnly Cookie 在 document.cookie 中不可见，旨在防止 XSS 窃取。
JavaScript 本身不能设置 Cookie 的 HttpOnly 属性。这是设计上的硬性限制，不是写法问题，也不是浏览器兼容性问题——任何用 document.cookie 添加 HttpOnly 字样的操作都无效。浏览器只认服务端在 Set-Cookie 响应头中明确声明的 HttpOnly 标志。
为什么 JS 设不了 HttpOnly
HttpOnly 是 HTTP 协议层的安全机制，由服务端在响应时通过 Set-Cookie: key=value; HttpOnly 发出。它的核心目标就是让 JavaScript “看不见、读不到、改不了”敏感 Cookie（比如 sessionid）。如果前端能自己设，整个防护就形同虚设。
- 执行
document.cookie = "auth=xxx; HttpOnly"，浏览器只会把HttpOnly当作 cookie 值的一部分存进去，不会启用保护 - 控制台运行
document.cookie时，带HttpOnly的 Cookie 完全不出现 - 恶意 XSS 脚本即使执行成功，也无法通过
fetch或XMLHttpRequest窃取该 Cookie
真正有效的设置方式（服务端）
所有含身份信息的 Cookie 必须由后端统一配置 HttpOnly，并搭配其他关键属性：
-
Node.js / Express：
res.cookie('sessionid', 'abc123', { httpOnly: true, secure: true, sameSite: 'Lax' }) -
PHP：
setcookie('sessionid', 'abc123', ['httponly' => true, 'secure' => true, 'samesite' => 'Lax']) -
Next.js（cookies-next）：
await setCookie('sessionId', 'val', { httpOnly: true, secure: true, sameSite: 'strict' }) -
Spring Boot：用
ResponseCookie.from().httpOnly(true).secure(true).sameSite("Lax")
验证是否生效
打开浏览器开发者工具 → Application → Cookies，找到对应条目：
立即学习“Java免费学习笔记（深入）”；
- 若
HttpOnly列显示 ✅，说明服务端已正确下发 - 在 Console 中执行
document.cookie，确认看不到该 Cookie - 注意：它仍会随同域请求自动发送给服务端，不影响登录态维持
别只靠 HttpOnly
HttpOnly 只解决“XSS 成功后 Cookie 不被窃取”这一环，它不防 XSS 本身，也不防 CSRF 或中间人攻击：
- 必须配合
Secure（强制 HTTPS），否则明文传输可能被截获 - 建议加上
SameSite=Lax，低成本缓解 CSRF 风险 - 服务端仍需对用户输入做白名单过滤或上下文编码（HTML/JS/URL 场景不同）
- 敏感操作（如转账）应引入二次验证或一次性 Token，不单靠 Cookie
