"HttpOnly" should be set on cookies

`HttpOnly` 属性是一个用于设置Cookie的安全标志。当你在HTTP响应头中设置这个属性时，浏览器会在JavaScript（客户端）中禁用对这个Cookie的读取，这主要是为了防止跨站脚本攻击（XSS）。通常，恶意脚本可以通过获取用户的Cookie来窃取敏感信息，如Session ID。但是，如果`HttpOnly` 设置为true，即使脚本能够访问到Cookie，也无法直接读取其值。

设置`HttpOnly` 的好处包括：

1. **防御CSRF**: HttpOnly Cookie不会被第三方网站（非同源站点）的JavaScript脚本获取，从而降低了跨站请求伪造(CSRF)攻击的风险。
2. **减少 XSS 攻击**: 防止前端JavaScript代码通过document.cookie访问Cookie，增加了Web应用程序的安全性。
3. **提升用户体验**: 如果你应用使用了某种形式的身份验证，设置`HttpOnly` 可以让用户知道他们不能通过浏览器的开发者工具轻易地查看或修改他们的登录凭据。

要在Java中设置带有`HttpOnly` 标志的Cookie，你可以使用`javax.servlet.http.HttpServletResponse`类的`addCookie()`方法，如下所示：

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;

// 创建Cookie并设置HttpOnly属性
Cookie cookie = new Cookie("yourCookieName", "cookieValue");
cookie.setMaxAge(3600); // 有效期1小时
cookie.setHttpOnly(true);
response.addCookie(cookie);