如何使用 document.cookie 創建安全/httpOnly cookies？

Question

如果我創建 function：

function setCookie(name, value)
    {
      // this works:
      // document.cookie=name + "=" + escape(value) + "; path=/;";
      // this does not:
      // document.cookie=name + "=" + escape(value) + "; path=/; secure; HttpOnly; SameSite=strict";
    }

setCookie('my_cookie','some_random_value');

我不是 100% 知道為什么第二個選項不起作用。 有什么想法嗎？

Answer 1

見MDN ：

JavaScript Document.cookie API 無法訪問具有 HttpOnly 屬性的 cookie； 它只發送到服務器。 例如，保持服務器端會話的 cookies 不需要對 JavaScript 可用，並且應該具有 HttpOnly 屬性。 這種預防措施有助於緩解跨站點腳本 (XSS) 攻擊。

您不能使用document.cookie設置它，因為該標志的全部目的是防止使用document.cookie設置（或讀取）它。