隐藏来自document.cookie的cookie

Question

我为firefox打开了cookie浏览器，我注意到我的localhost（php / apache）有一个名为sessid的cookie。但是当我尝试

时

document.cookie

在浏览器中，结果是＆＃34;＆＃34;，这怎么可能？

Answer 1

某些服务器端应用程序（或PHP）创建的Cookie可以标记为httpOnly。然后，这些cookie在客户端的javascript中不可见，但是，cookie仍然在http（s）请求中传输。

PHP会话Cookie标记为httpOnly，因此您无法使用document.cookie访问它们。

此功能的原因是为了缓解一些跨站点脚本攻击（cookie窃取）。