Javascript 如何在Node.js、Express.js应用程序中设置HttpOnly标志？

您好，我在

node.js

中有一个项目，我想为标题响应设置HttpOnly标志：true

我在

app.js

中编写了以下代码，但在响应头中没有任何效果

app.use(session({
 secret: "notagoodsecretnoreallydontusethisone",
 resave: false,
 saveUninitialized: true,
 cookie: {httpOnly: true, secure: true}
}));

---

因此，在

express.js

中设置HttpOnly标志的任何建议都是非常受欢迎的。

我想你可以试试这个

app.use(session({
   cookieName: 'sessionName',
   secret: "notagoodsecretnoreallydontusethisone",
   resave: false,
   saveUninitialized: true,
   httpOnly: true,  // dont let browser javascript access cookie ever
   secure: true, // only use cookie over https
   ephemeral: true // delete this cookie while browser close
}));

---

如果要将其设置为true，为什么代码会显式将其设置为false？很抱歉，出现了错误，我刚刚编辑了我使用的是相同的代码，但没有效果。您使用的是哪个版本的Express和Express会话中间件？两者都有1.4.28的版本，我已经得到了答案，Http仅在我们部署代码时在服务器上工作。这个答案是错误的——这是您使用会话的方式，但没有回答如何设置标志的实际问题——例如，会话在lambda上不工作。