AngularJS中如何正确设置Cookie的httpOnly属性为true

$cookies.putObject设置httpOnly不生效不是写法问题，是两层硬限制导致的：

• 浏览器安全规则层面：带HttpOnly标记的Cookie从设计之初就禁止任何客户端JavaScript读写、修改，这是浏览器强制执行的安全基线，目的是阻断XSS攻击窃取敏感Cookie的路径，所有前端JS API都没有操作这个属性的权限。
• AngularJS实现层面：1.x版本的ngCookies模块本身就不支持设置HttpOnly属性，你传入的{httpOnly:true}参数会被直接忽略。
  你之前配置secure:true能正常生效，是因为secure属性允许客户端JS配置，只要Cookie在HTTPS环境下传输就符合规则，没有权限限制。

HttpOnly属性只能通过服务端配置，不存在任何客户端JS可行的设置方案：

• 服务端返回HTTP响应时，在Set-Cookie响应头中给对应Cookie加上HttpOnly标识即可，标准响应头格式示例：

Set-Cookie: keyname=实际存储的cookie值; Path=/; Secure; HttpOnly

• 前后端分离场景下，只需要让后端在对应接口（通常是登录、身份校验类接口）的响应中按上述格式返回Set-Cookie头，浏览器会自动识别并存储这个带HttpOnly标识的Cookie，后续同域请求会自动携带该Cookie，前端JS无法读取、修改它，正好匹配HttpOnly的安全设计预期。
• 不用尝试寻找前端绕过限制设置HttpOnly的偏方，所有这类方案都不可能生效，这是浏览器层面的硬安全限制，没有绕开的可能。

内容的提问来源于stack exchange，提问作者Lovmusics _tabla_boy