防止使用javascritp的document.cookie劫持cookie

Set-Cookie: name=value; HttpOnly

通过上述设置，通常从Web 页面内还可以对Cookie 进行读取操作。但使用JavaScript 的document.cookie 就无法读取附加HttpOnly 属性后的Cookie 的内容了。因此，也就无法在XSS 中利用JavaScript 劫持Cookie 了。

原文链接：https://ask.csdn.net/questions/701939
其它类似链接：
https://www.cnblogs.com/strongery/p/5481812.html