鸡肋的HttpOnly

最近在做防爬，想看看从前端角度有什么方法解决，了解到了HttpOnly，刚开始还感觉这个有点意思，后来深入了解后这个还真只是有点意思。

首先，httpOnly可以防止js读取cookie，看着很牛逼，但是也仅限于此。

这个属性注定了它无法通过js设置，只能通过服务端设置，但是设置后并不是就万事大吉了。js虽然不能设置httpOnly，但是在部分浏览器中js可以将httpOnly覆盖。而且虽然无法通过js获取cookies，但是只要打开控制台，依然可以获取到cookie

httpOnly只是对cookies生效，如果不用cookie做身份凭证，那么httpOnly就没有用。

从通用性来讲，httpOnly属性还不如下面两行代码有用

// 禁止右键
document.oncontextmenu = new Function("event.returnValue=false");
// 禁止F12
document.onkeydown = new Function("event.returnValue=false");