javascript - 通过 Javascript 将 cookie 设置为 HttpOnly

Question

我有一个不是 HttpOnly 的 cookie 我可以通过 JavaScript 将这个 cookie 设置为 HttpOnly 吗？

Answer 1

HttpOnly cookie 意味着它不可用于脚本语言，如 JavaScript。因此，在 JavaScript 中，绝对没有可用于获取/设置 cookie 的 HttpOnly 属性的 API，否则会破坏 HttpOnly 的含义。

只需使用服务器端使用的任何服务器端语言在服务器端设置它。如果 JavaScript 对此绝对必要，您可以考虑让它发送一些(ajax)请求，例如触发服务器端语言创建 HttpOnly cookie 的一些特定请求参数。但是，这仍然会让黑客很容易地通过 XSS 更改 HttpOnly，并且仍然可以通过 JS 访问 cookie，从而使您的 cookie 上的 HttpOnly 完全无用.