Secure 属性必须由服务器在 Set-Cookie 响应头中声明，前端 document.cookie 无法设置；写入时加 secure 字符串无效，仅当响应头含 Secure（大小写敏感、无引号）才生效。
在 JavaScript 中，不能直接通过 document.cookie 设置 Secure 属性——浏览器会忽略它。这是关键前提：Secure 是一个由服务器控制的响应头属性，必须由后端在 Set-Cookie 响应头中声明，前端 JS 无法“添加”或“启用”该标志。
为什么 document.cookie 写入时加 secure 无效
当你这样写：
document.cookie = "token=abc; secure";
浏览器会照常设置 cookie，但 secure 这个字符串只是被当作普通 cookie 属性名（类似 foo=bar; secure），不会触发安全传输机制。真正起作用的 Secure 标志，必须出现在 HTTP 响应头中，且不含引号、大小写敏感（必须是 Secure），例如：
Set-Cookie: token=abc; Path=/; Secure; HttpOnly; SameSite=Lax
只有这时，浏览器才认可并强制该 cookie 仅随 HTTPS 请求发送。
立即学习“Java免费学习笔记（深入）”；
正确设置 Secure 的方式：依赖服务端响应
前端 JS 本身不负责开启 Secure，而是要确保后端在设置敏感 cookie 时明确包含 Secure。常见做法包括：
- Node.js（Express）：用
res.cookie()并传入{ secure: true }（生产环境需确保反向代理或负载均衡器正确透传 HTTPS 协议） - Next.js（cookies-next）：调用
setCookie()时指定secure: true，且只在NODE_ENV === 'production'下启用 - PHP：
setcookie()函数中传入'secure' => true参数 - Java Servlet：
cookie.setSecure(true)，并在 HTTPS 环境下部署
本地开发时的注意事项
开发阶段若用 http://localhost，浏览器拒绝接受 Secure cookie（因为非 HTTPS）。此时可临时：
- 后端配置根据环境动态开关
secure：开发用false，上线自动切为true - 使用
https://localhost（配合自签名证书）进行真实测试 - 避免在 JS 中硬编码
secure字符串到document.cookie，它无实际作用还易误导
验证 Secure 是否生效
打开浏览器开发者工具 → Application → Cookies，查看目标 cookie 的属性栏。若显示 “Secure” 标记为灰色对勾 ✔️，说明已正确启用；若缺失或显示为灰色叉 ✘，则后端未正确下发 Secure 标志。也可检查 Network 面板中响应头的 Set-Cookie 值是否含 Secure 字样。
