为什么 JavaScript 无法直接设置 Cookie 的 HttpOnly 属性
问题现象
很多开发者在尝试通过客户端 JavaScript 设置包含 HttpOnly 属性的 Cookie 时，会发现设置操作无法生效，示例代码如下：
document.cookie = 'url=https://www.ipipp.com/;expires=0;path=/;HttpOnly;';
执行上述代码后，查看浏览器的 Cookie 存储，会发现并没有成功创建带有 HttpOnly 属性的 Cookie，甚至整个 Cookie 可能都没有被正确设置。
原因解析
HttpOnly 是 Cookie 的一个安全属性，它的设计初衷就是限制客户端 JavaScript 对 Cookie 的访问和操作权限，核心目的是提升 Web 应用的安全性，避免 Cookie 被跨站脚本攻击（XSS）等恶意脚本窃取。
如果允许客户端 JavaScript 设置 HttpOnly 属性，那么恶意脚本就可以随意给 Cookie 标记该属性，或者反过来篡改已有 Cookie 的安全属性，安全机制就失去了意义。因此，浏览器层面直接禁止了客户端 JavaScript 对 HttpOnly 属性的设置和修改操作，包括通过 document.cookie 赋值的方式也无法生效。
解决方案
如果需要设置带有 HttpOnly 属性的 Cookie，必须在服务端通过 HTTP 响应头来配置，不同的服务端语言实现方式略有差异，下面是常见的示例：
以 Node.js 的 Express 框架为例，设置 HttpOnly Cookie 的代码如下：
// Express 框架中设置 HttpOnly Cookie 的示例
const express = require('express');
const app = express();
app.get('/set-cookie', (req, res) => {
// 设置名为 url 的 Cookie，开启 HttpOnly，过期时间设置为会话结束，路径为根路径
res.cookie('url', 'https://www.ipipp.com/', {
httpOnly: true,
path: '/',
expires: 0 // 0 表示会话 Cookie，浏览器关闭后失效
});
res.send('HttpOnly Cookie 设置成功');
});
app.listen(3000, () => {
console.log('服务运行在 3000 端口');
});如果是其他服务端语言，比如 Java Servlet，设置方式如下：
// Java Servlet 中设置 HttpOnly Cookie 的示例
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
// 创建 Cookie 对象，名称为 url，值为对应地址
Cookie cookie = new Cookie("url", "https://www.ipipp.com/");
// 设置 HttpOnly 属性为 true
cookie.setHttpOnly(true);
// 设置 Cookie 的有效路径为根路径
cookie.setPath("/");
// 设置过期时间，0 表示会话 Cookie
cookie.setMaxAge(0);
// 将 Cookie 添加到响应头中
response.addCookie(cookie);
response.getWriter().write("HttpOnly Cookie 设置成功");
}如果是 PHP 服务端，设置方式如下：
<?php
// PHP 中设置 HttpOnly Cookie 的示例
// 参数依次为：Cookie 名称、值、过期时间（0 为会话 Cookie）、路径、域名、是否仅 HTTPS 传输、是否开启 HttpOnly
setcookie('url', 'https://www.ipipp.com/', 0, '/', '', false, true);
echo 'HttpOnly Cookie 设置成功';
?>提示：在本地开发调试时，如果只是临时测试 HttpOnly Cookie 的效果，可通过浏览器的开发者工具手动添加具有 HttpOnly 属性的 Cookie 进行模拟，无需每次都启动服务端。
补充说明
除了 HttpOnly 属性之外，Cookie 还有 Secure、SameSite 等安全属性，这些属性同样无法通过客户端 JavaScript 修改，都需要通过服务端响应头来配置，这样才能最大程度保障 Cookie 的安全性。
另外需要注意，即使服务端设置了 HttpOnly 属性，客户端 JavaScript 依然可以读取到不包含 HttpOnly 的其他 Cookie，只是无法访问被标记了 HttpOnly 的 Cookie，这一点在开发时需要根据业务场景合理规划 Cookie 的权限。