如何启用HTTP-only Cookie

HTTP-only Cookie是一种浏览器安全特性，它的目的是防止JavaScript获取和修改cookies，从而增强网站的安全性。要在服务器端设置HTTP-only Cookie，通常在响应头（Set-Cookie）添加一个名为`HttpOnly`的字段，值为`true`。以下是使用Node.js Express为例的简单设置：

const express = require('express');
const app = express();

app.get('/set-cookie', function(req, res) {
  // 设置HTTP-only Cookie
  res.cookie('mySecureCookie', 'secretValue', { 
      httpOnly: true,
      secure: true, // 如果在HTTPS环境下，应设置secure为true
      sameSite: 'strict' // 这取决于你的需求，可以选择'lax'、'strict'或省略
  });
  res.send('Cookie set successfully.');
});

// 其他路由...

app.listen(3000, function () {
  console.log('App is listening on port 3000!');
});

在这个例子中，`res.cookie()`函数设置了名为`mySecureCookie`的cookie，并指定了`httpOnly`属性为`true`。当浏览器收到这个响应，它会阻止JavaScript访问这个cookie。