HttpOnly 是 Web 安全中用于保护 Cookie 的一项重要属性。以下是关于它的详细介绍、使用场景及代码示例1. 什么是 HttpOnly CookieHttpOnly 是服务器在设置 Cookie 时通过Set-Cookie响应头添加的一个安全标志。当浏览器接收到带有HttpOnly属性的 Cookie 后会严格限制该 Cookie 只能通过 HTTP 或 HTTPS 协议进行传输禁止客户端脚本如 JavaScript通过**document.cookie**API 读取或修改它。2. 核心使用场景HttpOnly 的主要目的是防御跨站脚本攻击XSS导致的会话劫持保护敏感凭证在用户登录时服务器通常会下发包含会话 IDSession ID或认证令牌Token的 Cookie。如果这些 Cookie 没有设置 HttpOnly攻击者一旦在页面中注入了恶意脚本就能轻易窃取这些凭证并冒充用户。配合其他安全属性单独使用 HttpOnly 只能防止 JS 读取无法防止网络窃听或跨站请求伪造CSRF。因此生产环境中通常需要与Secure仅通过 HTTPS 传输和SameSite限制跨站请求携带 Cookie配合使用构建完整的防御纵深。3. 各语言后端设置示例HttpOnly 必须由后端服务器设置前端 JavaScript 无法通过代码设置该属性浏览器会静默忽略。以下是常见后端的设置示例PHP 示例setcookie(sessionid,QmFieWxvbiA1,[httponlytrue,securetrue,samesiteLax]);Node.js (Express) 示例res.cookie(sessionid,abc123,{httpOnly:true,secure:true,sameSite:lax});Java Servlet 示例CookiecookienewCookie(sessionid,abc123);cookie.setHttpOnly(true);response.addCookie(cookie);C# (.NET) 示例HttpCookiemyCookienewHttpCookie(sessionid,abc123);myCookie.HttpOnlytrue;Response.AppendCookie(myCookie);4. 验证与注意事项如何验证生效打开浏览器的开发者工具进入Application应用 -Cookies面板查看目标 Cookie 的 “HttpOnly” 列是否已打钩。常见失效原因响应头格式错误如大小写不对、反向代理如 Nginx覆盖或清除了原始的Set-Cookie头或者某些老旧框架默认禁用了该属性。局限性HttpOnly 并非万能它只保护 Cookie 不被 JS 读取无法阻止 XSS 攻击本身如键盘记录、伪造请求等。因此仍需结合输入过滤、输出转义及内容安全策略CSP等综合手段来保障应用安全。