javascript - 通过 Javascript 将 cookie 设置为 HttpOnly

Question

我有一个不是的 cookie我可以通过 JavaScriptHttpOnly设置这个 cookie吗？HttpOnly

Answer 1

HttpOnlycookie 意味着它不适用于 JavaScript 等脚本语言。所以在 JavaScript 中，绝对没有 API 可用于获取/设置HttpOnlycookie 的属性，否则会破坏HttpOnly.

只需使用服务器端使用的任何服务器端语言在服务器端设置它。如果 JavaScript 是绝对必要的，你可以考虑让它发送一些（ajax）请求，例如一些特定的请求参数，触发服务器端语言创建一个 HttpOnly cookie。但是，这仍然会让黑客很容易HttpOnly通过 XSS 来更改它，并且仍然可以通过 JS 访问 cookie，从而使HttpOnly你的 cookie 完全无用。