phalcon 中 cookie 默认启用 httponly 是为防 xss 窃取会话 id 等敏感凭证；设为 true 后，javascript 无法通过 document.cookie 读取，这是浏览器强制执行的安全机制，并非 bug。
Phalcon 中 Cookie 默认启用 HttpOnly 是常见做法，目的是防止 XSS 攻击窃取敏感凭证（如会话 ID、JWT）。一旦设置了 HttpOnly，JavaScript 就无法通过 document.cookie 读取该 Cookie —— 这不是 bug，而是预期行为，属于基础安全机制。
为什么 JS 读不到 Phalcon 设置的 Cookie？
根本原因在于浏览器的安全策略：HttpOnly 标志会阻止所有客户端脚本访问该 Cookie。即使你在 Phalcon 中显式设置了 httpOnly => false，仍可能因以下情况导致失效：
- Phalcon 版本差异（如 4.x 默认强制 HttpOnly，3.1.2 等旧版默认宽松）
- 底层 PHP 的
session.cookie_httponly配置为On（覆盖框架层设置） - Cookie 是通过
setcookie()或Response::setCookie()手动写入，但未传入httpOnly参数或传了false却被全局配置拦截 -
secure设为true但当前是 HTTP 环境（非 HTTPS），导致 Cookie 不下发，JS 自然读不到
Phalcon 中正确配置 HttpOnly 的方式
推荐在应用初始化阶段统一控制，避免逐处手动设置出错：
-
修改全局 PHP 配置：在
php.ini中设session.cookie_httponly = Off（仅限明确需 JS 访问的场景，不推荐生产环境） -
Phalcon 4+ 使用 Response 对象：
$response = new Response(); $response->setCookie('token', $value, time() + 3600, '/', '', false, false); // 最后一个 false = httponly = false return $response; -
Phalcon 3.x 使用 Cookies 服务：
$this->cookies->set('token', $value, time() + 3600, '/', '', false, false); // 第7个参数为 httponly
安全建议：不该让 JS 读敏感 Cookie
如果你的前端需要 token 或用户身份信息，更合理的做法是：
- 将非敏感数据（如语言偏好、主题）存为普通 Cookie（
httponly=false）供 JS 读取 - 将敏感凭证（如 session_id、JWT）严格设为
httponly=true，由后端自动携带，前端无需也不应接触 - 如确需前端获取用户状态，改用后端 API 返回（如
/api/user/profile），而非解析 Cookie - 配合
SameSite=Lax和Secure=true（HTTPS 环境下）进一步防御 CSRF 和中间人攻击
验证 HttpOnly 是否生效
不要依赖浏览器「Application → Cookies」面板是否显示 —— 现代 Chrome/Firefox 已默认隐藏 HttpOnly Cookie。正确验证方式：
- 打开「Network」面板，查看登录响应头中是否有
Set-Cookie: xxx; HttpOnly; - 发起后续请求，检查「Request Headers」中是否自动包含该 Cookie（即服务端能收到）
- 在控制台执行
document.cookie，确认目标 Cookie 名称不出现（说明 JS 确实不可读）
