Postman不显示HttpOnly Cookie的值是主动安全限制，仅展示元数据；验证是否生效应检查后续请求Header中是否自动携带该Cookie，而非查看面板Value字段。
Postman里根本看不到HttpOnly Cookie的值
Postman的Cookies管理面板（点击请求右上角 Cookies 按钮弹出的窗口）会显示所有收到的 Set-Cookie 响应头里的 Cookie，包括标记了 HttpOnly 的那条——但它只展示元数据（Name、Domain、Path、Expires、HttpOnly、Secure 等），不会显示 Value 字段内容。这是 Postman 主动做的安全限制，不是 bug，也不是你配置错了。
原因很简单：HttpOnly 的语义就是“不给任何客户端代码读取”，Postman 作为调试工具，必须尊重这个契约。它能告诉你“这个 Cookie 存在且被设为 HttpOnly”，但绝不暴露其值。
- 如果你在响应头里看到
Set-Cookie: jwt=eyJhb...; HttpOnly; Path=/，但在 Cookies 面板里Value是空或显示[HttpOnly]，说明设置成功 - 不要尝试用
document.cookie或 JS 脚本去“验证”它——Postman 没有 document 对象，这一步本就不适用 - 别误以为“看不到值 = 没生效”，HttpOnly 的存在性验证靠的是后续请求是否自动携带，而不是能否看见明文
怎么确认HttpOnly Cookie已生效并自动发送
真正有效的验证方式，是看它是否被 Postman 自动注入到后续请求的 Cookie 请求头中。这需要构造一个「带状态的请求链」：
Postman 12.27.7
下载
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
- 先发一次登录请求，确保服务端返回了带
HttpOnly的Set-Cookie（检查响应头） - 立即发第二次请求（比如
GET /api/profile），打开该请求的Headers标签页 - 在
Request Headers区域查找Cookie:这一行，确认里面是否包含对应名称和值（如Cookie: jwt=eyJhb...） - 如果出现，说明 Postman 已正确存储并复用了该 HttpOnly Cookie；如果不出现，检查
Domain和Path是否匹配（例如服务端设了Domain=api.example.com，而你请求的是example.com，就不会携带）
为什么不能手动编辑或填入HttpOnly Cookie的值
Postman 允许你在请求头里手动添加 Cookie: key=value，但这属于“覆盖行为”，绕过了浏览器/Postman 的 Cookie 管理机制。这种做法对 HttpOnly Cookie 有严重误导性：
- 手动写入的
Cookie头不会触发Domain/Path/Secure等作用域校验，容易伪造出服务端拒绝接受的非法请求 - 它无法模拟真实用户场景：浏览器从不让你 JS 写入 HttpOnly Cookie，所以测试时手动塞值，等于跳过了一层关键安全逻辑
- 若服务端启用了
SameSite=Lax或Strict，手动构造的 Cookie 头可能因缺失上下文（如 referrer、origin）被丢弃 - 真正要测 HttpOnly 行为，必须依赖 Postman 自动管理的那一套——即靠
Set-Cookie响应头下发、自动存储、按规则携带
容易被忽略的关键点：SameSite 和 Secure 属性影响携带逻辑
即使 HttpOnly 设置成功，Cookie 也可能在后续请求中“消失”，这不是 Postman 的问题，而是属性组合导致的静默丢弃：
-
Secure: true时，Postman 只会在 HTTPS 请求中发送该 Cookie；若你用http://测试，它会被完全忽略（连日志都不会提示） -
SameSite=Lax下，Postman 发起的跨站 GET 请求（比如从https://postman-echo.com调用你的接口）不会携带 Cookie；只有同站导航或表单提交才会带 -
Domain值若写成Domain=.example.com，则子域名（api.example.com）可共享；但若写成Domain=www.example.com，则api.example.com就收不到 - Postman 的 Cookies 面板里显示的
Domain是解析后的结果，有时会把localhost显示为空或null，但这不影响实际携带——只要响应头里写了Domain=localhost，本地请求就能用
