js设置httponly

HttpOnly 是一个 HTTP 响应头，用于指示浏览器将特定的 cookie 设置为仅 HTTP(S) 访问，从而防止客户端脚本（如 JavaScript）访问这些 cookie。这一特性有助于提高网站的安全性，特别是在防范跨站脚本攻击（XSS）时非常有用。

基础概念

当服务器发送一个带有 HttpOnly 标志的 cookie 给浏览器时，浏览器会存储这个 cookie，但不会将其暴露给任何通过 JavaScript 发起的请求。这意味着即使网页中存在恶意脚本，也无法读取或修改这些标记为 HttpOnly 的 cookie。

类型与应用场景

HttpOnly 主要应用于存储敏感信息的 cookie，如：

会话标识符
认证令牌
用户偏好设置（如果包含敏感信息）

设置方法

在服务器端设置 HttpOnly cookie 的方式取决于所使用的编程语言和框架。以下是一些常见的例子：

Node.js (Express)

const express = require('express');
const app = express();

app.get('/', (req, res) => {
  res.cookie('sessionId', '123456', { httpOnly: true });
  res.send('Cookie has been set');
});

app.listen(3000, () => {
  console.log('Server running on port 3000');
});

PHP

<?php
setcookie("sessionId", "123456", time()+3600, "/", "", false, true); // 最后一个参数为 true 表示启用 HttpOnly
?>

Java (Spring Boot)

@GetMapping("/")
public String setCookie(HttpServletResponse response) {
    Cookie cookie = new Cookie("sessionId", "123456");
    cookie.setHttpOnly(true);
    response.addCookie(cookie);
    return "Cookie has been set";
}