Express设置httpOnly Cookie后，浏览器Network Tab仍显示该Cookie的问题

• httpOnly的作用并非隐藏Cookie的网络传输记录：它的核心限制是禁止前端通过document.cookie API读取该Cookie，以此防范XSS攻击窃取Cookie。但HTTP响应头里的Set-Cookie字段、请求头里的Cookie字段，本来就会在浏览器的Network面板中显示，这和httpOnly属性无关——不管有没有httpOnly标记，这些头信息都能被看到。

• 你的代码存在配置项大小写错误：Express的res.cookie配置参数需使用小写，你写的Path、SameSite应改为path、sameSite，否则这些配置可能无法生效（比如路径限制、跨站Cookie规则），但这不是导致Network面板能看到Cookie的原因。

内容的提问来源于stack exchange，提问作者user2399035