如何使用 document.cookie 创建安全/httpOnly cookies？

Question

如果我创建 function：

function setCookie(name, value)
    {
      // this works:
      // document.cookie=name + "=" + escape(value) + "; path=/;";
      // this does not:
      // document.cookie=name + "=" + escape(value) + "; path=/; secure; HttpOnly; SameSite=strict";
    }

setCookie('my_cookie','some_random_value');

我不是 100% 知道为什么第二个选项不起作用。 有什么想法吗？

Answer 1

见MDN ：

JavaScript Document.cookie API 无法访问具有 HttpOnly 属性的 cookie； 它只发送到服务器。 例如，保持服务器端会话的 cookies 不需要对 JavaScript 可用，并且应该具有 HttpOnly 属性。 这种预防措施有助于缓解跨站点脚本 (XSS) 攻击。

您不能使用document.cookie设置它，因为该标志的全部目的是防止使用document.cookie设置（或读取）它。