我可以在浏览器中查看 httpOnly cookie

Question

我认为 httpOnly cookie 只能在 http 请求中读取。但是，当我打开 Firefox 开发工具时，我可以看到 cookie 的值。这是正常的吗？

Answer 1

是的，这很正常。HttpOnly 的作用是防止JavaScript访问 cookie ，这使得无法以编程方式（在客户端）进行篡改。您仍然可以通过浏览器的开发工具手动访问它。（如果你不这样做，毕竟用它们调试问题会非常困难。）