如何在 Node.js,Express.js 应用程序中设置 HttpOnly 标志？

Question

嗨，我在node.js有一个项目，我想设置HttpOnly 标志：对于 header 响应为 true 。

我在app.js中编写了以下代码，但它对响应 header 没有任何影响。

app.use(session({
 secret: "notagoodsecretnoreallydontusethisone",
 resave: false,
 saveUninitialized: true,
 cookie: {httpOnly: true, secure: true}
}));

因此，欢迎任何关于在express.js中设置HttpOnly 标志的建议。

Answer 1

我想你可以尝试一下！

app.use(session({
   cookieName: 'sessionName',
   secret: "notagoodsecretnoreallydontusethisone",
   resave: false,
   saveUninitialized: true,
   httpOnly: true,  // dont let browser javascript access cookie ever
   secure: true, // only use cookie over https
   ephemeral: true // delete this cookie while browser close
}));

Answer 2

此示例使用 cookie-parser 库。

设置 cookie：res.cookie("cookie_name", token, {})

使用httpOnly: true传递 res.cookie() 一个选项 object ，

 const options = {
    expires: duration,
    httpOnly: true,
  };

最后例如

res.cookie("cookie_name", token, options)

• https://www.npmjs.com/package/cookie-parser
• https://expressjs.com/en/resources/middleware/cookie-parser.html