从 document.cookie 中隐藏 cookie

Question

我打开了 Firefox 的 cookie 浏览器，我注意到我的本地主机（php/apache）有一个名为 sessid 的 cookie。 但是当我尝试

document.cookie

在浏览器中，结果是“”，这怎么可能？

Answer 1

某些服务器端应用程序（或 PHP）创建的 Cookie 可以标记为httpOnly 。 然后这些 cookie 对客户端的 javascript 不可见，但是，cookie 仍然在 http(s) 请求中传输。

PHP 会话 cookie 被标记为httpOnly ，因此，您无法使用document.cookie访问它们。

此功能的原因是为了减轻一些跨站点脚本攻击（cookie 窃取）。