当 jwt 被设为 httponly cookie 时，它不会出现在浏览器 application → cookies 列表中（chrome 等主流浏览器默认隐藏），但会自动随请求发送——这是安全设计，而非设置失败。
当 jwt 被设为 httponly cookie 时，它不会出现在浏览器 application → cookies 列表中（chrome 等主流浏览器默认隐藏），但会自动随请求发送——这是安全设计，而非设置失败。
在 Express 应用中通过 res.cookie('jwt', token, { httpOnly: true, maxAge: 24 * 60 * 60 * 1000 }) 正确设置 JWT Cookie 后，你观察到：
✅ Network 面板的响应头中清晰显示 Set-Cookie: jwt=xxx; HttpOnly; Max-Age=86400；
✅ 同一请求的 Cookies 标签页（Network → 请求 → Cookies） 中可见该 Cookie；
❌ 但 Application → Storage → Cookies → localhost 下却“空空如也”——这并非 Bug，而是浏览器对 HttpOnly Cookie 的主动隔离策略。
? 为什么 Application 标签页看不到 HttpOnly Cookie？
HttpOnly 是 RFC 6265 规范定义的安全标志，其核心语义是：该 Cookie 仅由浏览器 HTTP 引擎自动携带，禁止 JavaScript 访问。为强化这一保障，现代浏览器（Chrome、Edge、Firefox）在开发者工具的 Application → Cookies 视图中默认不渲染 HttpOnly Cookie —— 这是刻意为之的安全 UX 设计，防止开发人员误以为“看不见 = 未设置”，进而弱化安全意识。
✅ 正确验证方式：
- 查看 Network → 请求 → Headers → Request Headers，确认 Cookie: jwt=xxx 已存在；
- 或在控制台执行 document.cookie（返回空字符串或不含 jwt），反向印证 HttpOnly 生效。
? 正确设置与调试实践
以下是你当前代码的优化建议（含安全增强）：
module.exports.getUser = async (req, res, next) => {
console.log('i am in getuser');
const { SIT } = req.query;
const { oid } = res.locals.tokenPayload;
try {
const user = await getUserById({ params: { userId: oid } }, SIT);
const token = createToken(oid);
// ✅ 推荐：显式指定 Secure + SameSite + Path，适配 HTTPS 生产环境
res.cookie('jwt', token, {
httpOnly: true, // ✅ 禁止 JS 访问，防 XSS
secure: process.env.NODE_ENV === 'production', // 仅 HTTPS 传输
sameSite: 'lax', // 平衡 CSRF 防御与用户体验
path: '/', // 确保全站请求携带
maxAge: 24 * 60 * 60 * 1000 // 单位毫秒（注意：原代码中 24*1000*1000 = 24秒！应为 86400000）
});
res.status(200).json(user); // 建议使用 .json() 显式声明 Content-Type
} catch (e) {
console.error('JWT cookie set failed:', e);
res.status(500).json({ error: 'Internal server error' });
}
};
⚠️ 关键修正点：
- maxAge: 24 * 1000 * 1000 实际等于 24 秒（非 24 小时），极易导致 Token 瞬间过期，务必改为 24 * 60 * 60 * 1000（86,400,000 ms）；
- secure: true 在本地 HTTP 开发时会导致 Cookie 不被发送（浏览器拒绝），请按环境动态启用；
- sameSite: 'lax' 可防御大部分 CSRF，同时允许 GET 跳转类请求（如 OAuth 回调）正常携带 Cookie。
? 补充验证技巧
| 场景 | 检查位置 | 预期结果 |
|---|---|---|
| Cookie 是否成功下发 | Network → 响应头 → Set-Cookie | 存在 jwt=...; HttpOnly; Secure; ... |
| Cookie 是否被浏览器接收并存储 | Network → 请求 → Cookies 标签页 | 显示 jwt 及对应值（即使 Application 不显示） |
| Cookie 是否随后续请求发出 | Network → 任意受保护接口 → Request Headers → Cookie | 包含 jwt=xxx |
| HttpOnly 是否生效 | 浏览器 Console 执行 document.cookie | 不包含 jwt 字段（证明防护有效） |
? 总结：安全 ≠ 不可见，不可见 ≈ 安全已生效
HttpOnly Cookie “在 Application 标签页不可见”不是缺陷，而是浏览器践行纵深防御的体现。真正的验证锚点永远是 网络层行为（是否发送） 和 安全目标达成（是否防 XSS），而非 UI 层的可视化。坚持将敏感凭证（如 JWT）设为 HttpOnly + Secure + SameSite，配合前端统一请求拦截器自动携带认证头（如需兼容无 Cookie 场景），才能构建既健壮又合规的鉴权链路。
