JavaScript 无法读取 HttpOnly Cookie，因其设计目的就是禁止客户端脚本访问以防范 XSS；JS 仅能通过 document.cookie 操作非 HttpOnly、同域、未过期且满足 Secure/SameSite 等条件的 Cookie。
JavaScript 无法读取设置了 HttpOnly 标志的 Cookie，这是设计上的安全限制——该标志的作用就是让 Cookie 只能由服务器通过 HTTP 协议发送和接收，禁止客户端脚本（如 JS）访问，从而防范 XSS 攻击窃取敏感 Cookie（比如 session ID）。
JavaScript 能操作哪些 Cookie？
JS 只能通过 document.cookie 读写未标记 HttpOnly 的 Cookie，且仅限于当前域名、路径匹配、未过期、且满足 Secure（HTTPS 环境下才允许写入）等条件的 Cookie。
- 设置 Cookie：
document.cookie = "name=value; expires=...; path=/; domain=.example.com; Secure; SameSite=Lax" - 读取 Cookie：
document.cookie返回一个字符串（所有可访问 Cookie 的 name=value 对，用分号空格分隔），需自行解析 - 删除 Cookie：将
expires设为过去时间，例如expires=Thu, 01 Jan 1970 00:00:00 GMT
HttpOnly 必须由服务器端设置
HttpOnly 是响应头 Set-Cookie 的一个属性，浏览器只认服务器在 HTTP 响应中明确声明的该标志。JavaScript 没有 API 可以添加或修改它。
- ✅ 正确方式（服务端示例）：
- Node.js/Express：
res.cookie('sessionid', 'abc123', { httpOnly: true, secure: true, sameSite: 'lax' }) - PHP：
setcookie('token', 'xyz', ['httponly' => true, 'secure' => true, 'samesite' => 'Lax']) - Java Servlet：
cookie.setHttpOnly(true); cookie.setSecure(true); response.addCookie(cookie) - ❌ 错误认知：不能通过
document.cookie = "a=b; HttpOnly"设置——浏览器会忽略该属性
如何确保 Cookie 安全？关键组合策略
单靠 HttpOnly 不够，需配合其他属性形成纵深防御：
立即学习“Java免费学习笔记（深入）”；
-
Always use
Secure：确保 Cookie 仅通过 HTTPS 传输，防止明文窃听（开发环境 localhost 除外） -
Set
SameSiteexplicitly：推荐SameSite=Lax（默认防 CSRF，兼容大部分 GET 请求）或Strict（更严，但可能影响跨站导航） -
Limit
DomainandPath：避免宽泛设置（如Domain=.com），缩小作用范围 -
Short
Max-AgeorExpires：敏感 Cookie（如登录态）应设合理有效期，降低泄露后危害
验证 HttpOnly 是否生效
打开浏览器开发者工具 → Application（或 Storage）→ Cookies → 查看对应条目，若 “HttpOnly” 列显示 ✅，且在 Console 中执行 document.cookie 查不到该 Cookie 名称，则设置成功。
不复杂但容易忽略：HttpOnly 是服务器责任，JS 只能配合使用非敏感 Cookie（如 UI 偏好），敏感状态必须交由 HttpOnly + Secure + SameSite 全套保护。
