reactjs - 无法从 react js 访问 httponly cookie，但可以在邮递员应用程序中访问！这怎么可能？

Question

我向服务器发送了一个登录请求，并在此操作后获取带有令牌值的 cookie，并在此操作后仅使用 HTTP 标记我无法在我的 react 应用程序中访问 c​​ookie 值，但我在邮递员应用程序中对其进行了测试，如果可以的话，我可以在此应用程序中看到 cookie在邮递员应用程序中看到它，这样我就可以在我的应用程序中看到它！他们之间有什么不同？有没有办法在反应应用程序中获取仅 HTTP 的 cookie？ 来自邮递员中服务器的请求响应的结果

标签： reactjscookieshttponly

Answer 1

这正是 HttpOnly cookie 的目的。

服务器将 cookie 与响应一起发送，浏览器存储它并将其与任何请求一起发送到该 cookie 的域。但是浏览器会阻止在其上运行的任何代码访问它。

为什么？，这创建了一种安全的方式来存储敏感信息，例如身份验证令牌，防止页面中的任何注入代码访问它。

https://www.owasp.org/index.php/HttpOnly