设置NodeJS cookie头的HttpOnly属性

Question

我正在试图找出如何为set-cookie标头设置HttpOnly属性,特别是对于本机NodeJS.

现在,我有这个代码,但它不起作用,因为我仍然可以使用客户端javascript访问cookie.

response.setHeader('Set-Cookie', ['HttpOnly']);

Answer 1

要设置cookie,您需要指定代码中缺少的cookie名称和值.这就是为什么它不起作用.示例代码是:

response.setHeader('Set-Cookie', 'foo=bar; HttpOnly');

如果你想设置多个cookie,一些有HttpOnly,有些没有.代码是:

response.setHeader('Set-Cookie', ['foo=bar; HttpOnly', 'x=42; HttpOnly', 'y=88']);

根据Node.js HTTP文档,没有全局HttpOnly配置,这是有道理的,因为通常您可能需要一些cookie客户端可读.