如何在Android WebView中设置HttpOnly Cookie

首先可以明确：基于Chromium内核的Android WebView完全支持传递HttpOnly属性的Cookie，CookieManager.setCookie()原生支持设置带HttpOnly属性的Cookie，你遇到的不生效问题和方法本身支持性无关，一般是配置或调用逻辑错误导致。

常见不生效原因 #

• Cookie字符串格式错误：setCookie方法传入的第二个参数必须是符合RFC规范的Cookie字符串，HttpOnly属性需要和其他属性（Domain、Path、Secure等）一同正确书写，示例格式为key=value; HttpOnly; Domain=你的域名; Path=/，任何属性拼写错误、遗漏必填属性都会导致设置失效。
• 缺少强制同步步骤：Android 5.0及以上系统中，setCookie执行后Cookie仅保存在内存中，必须调用CookieManager.getInstance().flush()方法将Cookie持久化到存储，才能保证WebView加载页面时读取到对应配置。
• 域名不匹配：setCookie第一个参数传入的URL必须和后续WebView加载的页面域名严格匹配，若需要跨子域生效，需要在Cookie属性中显式配置Domain为顶级域名（例如.example.com）。
• Secure属性限制：如果Cookie配置了Secure属性，仅在加载HTTPS协议的页面时才会生效，HTTP场景下会被系统自动过滤。
• 调用时机错误：所有Cookie配置操作必须在webView.loadUrl()之前执行，页面已经开始加载后再设置Cookie不会生效。

正确配置示例 #

CookieManager cookieManager = CookieManager.getInstance();
// 全局允许Cookie，默认值为true，可显式声明避免异常
cookieManager.setAcceptCookie(true);
// 允许第三方Cookie，跨域场景必须配置
cookieManager.setAcceptThirdPartyCookies(webView, true);

// 构造带HttpOnly属性的合法Cookie字符串
String cookieData = "user_token=xxxxxx; HttpOnly; Domain=.example.com; Path=/; Secure";
// 传入目标页面的完整URL
cookieManager.setCookie("https://m.example.com", cookieData);
// 强制同步Cookie到存储，必须调用
cookieManager.flush();

// 配置完成后再加载页面
webView.loadUrl("https://m.example.com");

注意：调用CookieManager.getCookie()获取对应域名的Cookie时，返回结果不会包含HttpOnly、Secure等属性，这是符合HttpOnly设计规范的正常表现（HttpOnly的作用就是禁止JS读取该Cookie），可通过抓包查看WebView发起请求的Request Header中的Cookie字段，确认对应Cookie是否被正常携带。

内容的提问来源于stack exchange，提问作者android_dev