为什么获取cookie不起作用？

Question

这让我抓狂！我有一个cookie，它是从包含sessionid的响应头设置的。该Cookie可在Chrome和Firefox中的开发工具中查看，但document.cookie会返回一个空字符串。

Cookie看起来像这样：

Name: sessionid
Value: 123456789
Domain: app
Path: /
Expires: Session
Secure: No

我正在点击的网址是http://app/

为什么我无法通过DOM api访问此cookie？

Answer 1

无法从JavaScript访问标记为httpOnly的Cookie，以减轻可能通过XSS窃取会话密钥的攻击。您正在寻找的cookie可能标有该值。