httpOnly cookie 可见

Question

我正在创建基于 jwt 令牌的会话，并使用 httpOnly 参数将该令牌传递给客户端，但 cookie 在浏览器中可见，这是照片： 这是代码

const token = jwt.sign({id :payload}, process.env.SECRET, {
            expiresIn: 10
        })

        console.log(token)
     res.cookie('token', token, {
            httpOnly: true
        });

为什么“token cookie”可见是什么问题？

Answer 1

来自MDN

为了防止跨站脚本（XSS）攻击，JavaScript 的 Document.cookie API 无法访问 HttpOnly cookie；它们仅发送到服务器。例如，保存服务器端会话的 cookie 不需要对 JavaScript 可用，并且应该设置 HttpOnly 标志。

HttpOnly 标志不会阻止 cookie 可见，但会阻止从 JavaScript 访问。Cookie 无法隐藏