通过JavaScript获取JSESSIONID返回undefined问题排查求助

你遇到的情况是JSESSIONID Cookie被设置了HttpOnly属性，这是浏览器原生的安全防护机制：只要Cookie携带HttpOnly标记，前端JavaScript的document.cookie接口就完全无法读写该Cookie，所以你执行匹配代码返回undefined，打印document.cookie也看不到JSESSIONID的内容。浏览器开发者工具的Cookie面板权限高于前端运行的JS，所以你可以在面板里看到该Cookie的存在。

当前你用的HTTPS环境和这个问题无关，Secure属性只会限制Cookie只能在HTTPS请求下携带，不影响前端JS对未带HttpOnly标记的Cookie的读取权限。

分两种场景处理：

• 如果你没有后端服务修改权限：没有任何办法通过前端JavaScript读取到带HttpOnly标记的JSESSIONID，这是安全设计，不存在绕过方案。
• 如果你有权限修改后端配置：
  • 优先不修改HttpOnly属性，它是防御XSS攻击窃取用户会话凭证的核心手段，关闭后会带来极大的账号安全风险。如果前端需要用到会话相关的标识，建议后端额外通过业务接口把需要的字段返回给前端，不要直接暴露JSESSIONID。
  • 若业务确实必须要前端读取JSESSIONID，可以在后端设置Cookie时移除HttpOnly配置，不同后端语言的配置方式不同，比如Java服务端设置Cookie时调用cookie.setHttpOnly(false)即可，修改后前端就能正常读取到JSESSIONID。

内容的提问来源于stack exchange，提问作者DarioS