关于 cookie 的一个小问题

Question

用 Chrome 浏览器打开百度网站，用开发者工具查看百度网站的 Cookie，如下图所示，总共 8 个 cookie 项。

在控制台用 document.cookie API 访问百度网站的 cookie 数据，只看到 7 个 cookie 项，如下图所示。缺少的一个 cookie 项是上图红框中的那一项，HTTP 列还有一个对勾。

请问这一项跟其他 cookie 项有不同吗？为什么 document.cookie API 访问不到？为什么 HTTP 字段上有个对勾，对勾代表什么？

Answer 1

如果在cookie中设置了HttpOnly属性(也就是你看到的http打勾了），那么通过js脚本将无法读取到cookie信息，这样能有效的防止XSS攻击（其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如，盗取用户Cookie、破坏页面结构、重定向到其它网站等）。