PHP HTTPOnly Cookie在jQuery/Ajax请求中对Session的影响与可用性

一句话说清核心 #

HTTPOnly 标记的 Session Cookie 完全不影响 jQuery/Ajax 和 PHP Session 的正常交互，Session 该怎么用就怎么用；而且 HTTPOnly 根本不是用来阻止 Session 修改的，它只是给 Cookie 加了个前端访问限制。

1. HTTPOnly 对 Ajax 请求的实际影响 #

HTTPOnly 的作用很单纯：不让浏览器端的 JavaScript 读取、修改这个 Cookie。但浏览器在发送任何请求（包括 Ajax）的时候，都会自动把符合域名、路径规则的 Cookie 带上——不管它是不是 HTTPOnly。

举个实际场景：PHP 默认用 PHPSESSID 这个 Cookie 存 Session ID，给它加了 HTTPOnly 标记后：

• 你在前端用 document.cookie 根本拿不到 PHPSESSID，也没法改它的值
• 但用 jQuery 发 Ajax 请求时，浏览器会自动把这个 Cookie 塞进请求头里发给服务器，PHP 拿到 Session ID 后，就能正常关联到对应的 Session 数据

2. Session 能不能正常工作？ #

必须能。Session 的核心是服务器端通过 Session ID 找到对应的会话数据，只要请求里带了正确的 Session ID（这里就是靠 HTTPOnly Cookie 传递），PHP 就能正常读写 Session。

比如你写个 Ajax 调用的 PHP 脚本：

session_start();
// 读取 Session
echo $_SESSION['user_id'];
// 修改 Session
$_SESSION['last_active'] = time();

这些操作和普通页面请求里的 Session 操作完全一样，没有任何区别——因为服务器端根本不管 Cookie 是不是 HTTPOnly，它只认 Session ID。

3. HTTPOnly 会让 Session 完全无法修改吗？ #

想多了。HTTPOnly 只管前端能不能碰 Cookie，Session 数据的修改权限完全在服务器端：

• 如果你的 PHP 脚本里有逻辑允许修改 Session（比如根据请求参数更新用户信息到 $_SESSION），那不管是 Ajax 还是普通请求，只要带了合法的 Session ID，就能改 Session
• HTTPOnly 能防的是 XSS 攻击：攻击者没法用脚本偷到你的 Session ID 去冒充你，但它管不了你自己服务器端的合法修改操作

内容的提问来源于stack exchange，提问作者xms