node.js - 为 NodeJS cookie header 设置 HttpOnly 属性

Question

我正在尝试弄清楚如何为 set-cookie header 设置 HttpOnly 属性，特别是针对 native NodeJS。

现在，我有这段代码，但它不起作用，因为我仍然可以使用客户端 javascript 访问 cookie。

response.setHeader('Set-Cookie', ['HttpOnly']);

Answer 1

要设置 cookie，您需要指定 cookie 名称和值，而您的代码中缺少这些。这就是它不起作用的原因。示例代码为:

response.setHeader('Set-Cookie', 'foo=bar; HttpOnly');

如果你想设置多个cookies，一些有HttpOnly，一些没有。代码将是:

response.setHeader('Set-Cookie', ['foo=bar; HttpOnly', 'x=42; HttpOnly', 'y=88']);

根据 Node.js HTTP document ，没有全局 HttpOnly 配置，这是有道理的，因为通常您可能需要一些 cookie 客户端可读。