ThinkPHP中启用HttpOnly需全局配置cookie.httponly=>true、运行时调用Cookie::set()显式传参、PHP底层设session.cookie_httponly=1，反向代理下还需修正HTTPS标识。
如果您在使用ThinkPHP框架时发现Cookie未启用HttpOnly属性，则可能导致JavaScript能够通过document.cookie读取敏感会话信息，从而增加XSS攻击风险。以下是针对不同版本和场景的HttpOnly属性配置方法：
一、全局配置文件设置（ThinkPHP 5.1与6.x通用）
通过修改应用主配置文件，可使所有由框架Cookie类或cookie()助手函数生成的Cookie自动携带HttpOnly标志，实现统一、可控的安全策略。
1、定位配置文件：ThinkPHP 5.1中为application/config.php，ThinkPHP 6.x中为config/app.php。
2、在'cookie' => []配置数组内添加或修改以下键值对：
3、确保包含'httponly' => true，该设置是启用HttpOnly的核心参数。
4、如站点部署于HTTPS环境，同时设置'secure' => true以强制仅通过加密连接传输Cookie。
5、可选增强防护：添加'samesite' => 'Lax'以缓解CSRF攻击。
二、运行时动态设置（适用于单次Cookie写入）
当需要为特定Cookie单独控制HttpOnly属性，或在控制器/中间件中临时覆盖全局配置时，可通过调用Cookie::set()并显式传入选项实现。
1、在控制器方法中引入think\facade\Cookie门面。
2、调用Cookie::set('token', $value, ['httponly' => true, 'secure' => true])。
3、注意：$options数组中的httponly和secure不会自动继承全局配置，必须显式声明。
4、若使用原生setcookie()函数，需严格遵循七参数签名：setcookie($name, $value, $expires, $path, $domain, $secure, $httponly)。
三、PHP底层全局启用（影响session及所有setcookie调用）
通过修改PHP运行时配置，可对所有Cookie（包括PHP原生session_start()生成的会话Cookie）强制启用HttpOnly，无需修改应用代码。
1、执行php --ini命令，确认当前生效的php.ini路径。
2、使用文本编辑器打开该php.ini文件。
3、查找session.cookie_httponly配置项，将其值设为1或On。
4、保存文件后，必须平滑重启PHP-FPM进程（如kill -USR2）或重启Web服务器，否则更改不生效。
5、验证方式：在浏览器开发者工具Application → Cookies中查看对应Cookie的“HttpOnly”列是否显示为勾选状态。
四、反向代理环境下的强制声明（Nginx/Apache + HTTPS终止）
当Web服务器（如Nginx）处理HTTPS并以HTTP协议转发请求至PHP时，ThinkPHP默认无法检测到HTTPS上下文，导致secure => true被忽略。此时需在PHP入口处主动修正协议标识。
1、打开public/index.php文件，在php标签后立即插入判断逻辑 。
2、检查$_SERVER['HTTP_X_FORWARDED_PROTO']是否等于'https'。
3、若成立，则手动设置$_SERVER['HTTPS'] = 'on'。
4、该操作必须位于任何输出（含空格、BOM）和框架初始化之前，否则header发送将失败，HttpOnly与Secure均无法生效。
5、也可在config/app.php的cookie配置中直接写死'secure' => true，绕过运行时检测。
五、调试与验证关键步骤
配置完成后，必须通过响应头实际验证HttpOnly是否真实写入，而非仅依赖配置存在。浏览器界面显示可能滞后或误导。
1、在Chrome或Edge中打开开发者工具，切换至Network标签页。
2、刷新页面，找到任意含Set-Cookie响应的请求（如登录接口或首页）。
3、在Response Headers区域搜索Set-Cookie字段，确认其值末尾包含; HttpOnly（注意大小写不敏感，但空格与分号需完整）。
4、在Console中执行document.cookie，验证目标Cookie名称是否不可见。
5、若仍可见，说明该Cookie未被正确标记HttpOnly，或存在同名未标记的旧Cookie残留。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
