为何Nuxt的useCookie()组合式函数可访问HttpOnly Cookie？

我太懂你这种困惑了！当初我第一次在Nuxt里遇到这个情况时，直接盯着浏览器DevTools愣了半天——不是说HttpOnly Cookie连JS都碰不到吗？怎么Nuxt的useCookie()就能拿到？后来翻了Nuxt的源码和官方文档才搞明白，核心是Nuxt的运行上下文分服务端和客户端，这俩的Cookie读取逻辑完全不一样！

先给你掰碎了说：

• 服务端运行时：这是正常操作！
  当你在Nuxt的中间件、页面的asyncData、useFetch的服务端选项里调用useCookie()时，代码是跑在Node.js服务端的。这时候它根本不是通过浏览器的JS引擎去读Cookie，而是直接从HTTP请求头的Cookie字段里解析所有Cookie——不管是不是HttpOnly，服务端都能拿到所有请求过来的Cookie，这本来就是HTTP协议的正常行为，HttpOnly的限制管不到服务端。

• 客户端运行时：理论上绝对拿不到！
  如果你的代码是在客户端浏览器里执行的（比如onMounted钩子、点击事件回调里调用useCookie()），那这时候useCookie()本质上是用document.cookie来读取的，而document.cookie是严格遵守HttpOnly限制的，根本读不到带HttpOnly标记的Cookie。

那你现在能拿到的原因，大概率是这两种情况之一：

1. 你以为自己是在客户端调用的useCookie()，但实际上代码是在服务端执行的（比如默认的全局中间件是跑在服务端的）。可以在调用useCookie的地方加一行console.log('是否在服务端：', process.server)，如果输出true，那就是这个原因。
2. 你在DevTools里看到的HttpOnly标记可能是假的？比如后端设置Cookie的时候漏加了HttpOnly属性，或者浏览器缓存了旧的非HttpOnly版本的Cookie。去DevTools的Application → Cookies里，找到你的refreshToken，仔细看HttpOnly列是不是真的打勾了，不行就清掉Cookie重新登录再看。

总结一下：HttpOnly的限制只针对浏览器前端的JavaScript环境，Nuxt服务端的代码不受这个限制，因为它是直接处理HTTP请求的。你遇到的“能拿到”，99%是因为代码跑在服务端上下文里，不是客户端JS突破了HttpOnly限制～

内容来源于stack exchange