Secure 属性确保 Cookie 仅通过 HTTPS 传输，必须在 HTTPS 页面中用 document.cookie 设置且不可有空格；它不加密内容，也不防 XSS，敏感 Cookie 应由后端通过 Set-Cookie 响应头设为 Secure+HttpOnly。
在 JavaScript 中设置 Cookie 的 Secure 属性，核心是确保该 Cookie **仅通过 HTTPS 协议发送**，防止明文传输被窃听。但要注意：浏览器强制要求，Secure 属性只能在 HTTPS 环境下生效；HTTP 页面中用 JS 设置 Secure Cookie 会被忽略（不会报错，但不生效）。
使用 document.cookie 设置 Secure Cookie
语法上需显式添加 Secure 标志，且建议同时设置 HttpOnly=false（因为 JS 只能操作非 HttpOnly Cookie）：
-
必须在 HTTPS 页面中执行，否则
Secure会被浏览器静默丢弃 - 写法示例：
document.cookie = "token=abc123; Secure; Path=/; Max-Age=3600" - 注意分号后不能有空格（部分旧浏览器可能敏感），推荐统一用
;分隔，无多余空格 - 若还需防 XSS，应配合
SameSite=Strict或SameSite=Lax（如：SameSite=Lax; Secure）
Secure 不等于加密，也不保证 Cookie 内容安全
Secure 只控制传输通道，不加密 Cookie 值本身。它不防止：
- 服务端未校验签名导致的 Cookie 伪造
- 前端硬编码密钥或明文存储敏感值（如 token）
- 跨站脚本（XSS）攻击中被 JS 读取并外泄（此时应避免用 JS 操作敏感 Cookie，优先用 HttpOnly）
检查是否设置成功
可通过浏览器开发者工具 → Application → Cookies 查看对应域名下的条目，确认字段栏中是否显示 Secure（通常以锁形图标或 “Secure” 文字标识）。也可在控制台运行：
document.cookie
——但注意：这只会返回当前页面可访问的非 HttpOnly Cookie**，且不显示属性（如 Secure、HttpOnly），因此不能靠它验证 Secure 是否生效。
立即学习“Java免费学习笔记（深入）”；
服务端设置更可靠（推荐）
前端 JS 设置 Secure Cookie 能力有限、易被绕过，生产环境强烈建议由后端响应头统一注入：
- HTTP 响应头示例：
Set-Cookie: sessionId=xyz; Path=/; Secure; HttpOnly; SameSite=Lax - 这样既启用 Secure，又规避了 JS 操作风险，还能配合 HttpOnly 防 XSS
- Node.js（Express）中：
res.cookie('uid', '123', { secure: true, httpOnly: true, sameSite: 'lax' })
