React与JavaScript环境下sessionid检测及删除相关技术问题咨询

1. 检测Cookies中sessionid是否存在的方案 #

你使用document.cookie获取不到sessionid是正常现象：Django默认给sessionid Cookie开启了HttpOnly属性，该属性是浏览器的安全机制，会禁止所有前端JavaScript读写对应Cookie，核心目的是防范XSS攻击窃取用户会话凭证。
实际实现不需要前端主动检测sessionid是否存在：你当前的需求是服务端校验认证状态，直接正常发起业务请求即可，若会话失效服务端会返回401状态码，前端只需要全局统一拦截响应，遇到401状态码时跳转登录页/弹出登录提示即可。
如果需要前端做UI层的登录状态展示，可以在用户登录成功时，在localStorage/sessionStorage中存储一个非敏感的登录标记（如is_login=1），该标记仅做UI渲染参考，实际鉴权逻辑完全以服务端响应为准。 #

2. 删除存储的sessionid的方案 #

优先使用服务端触发的删除方案，安全性最高：
前端发起退出登录请求，Django后端执行request.session.flush()方法，该方法会直接删除服务端存储的会话记录，同时返回的响应头会自动携带Set-Cookie字段，将sessionid的过期时间设为过去的时间，浏览器收到响应后会自动删除本地存储的sessionid Cookie，不需要前端做任何额外操作。
如果必须要前端手动删除（不推荐，会降低会话安全性），需要先修改Django配置，将SESSION_COOKIE_HTTPONLY设置为False（关闭HttpOnly保护后存在XSS攻击窃取会话的风险），之后可通过以下JS代码删除sessionid：

document.cookie = "sessionid=; path=/; expires=Thu, 01 Jan 1970 00:00:00 UTC; SameSite=Lax";

补充注意事项 #

所有权限校验的唯一可信基准是服务端的响应结果，前端存储的所有登录状态标记仅能用于优化UI展示，不可作为实际鉴权依据，避免出现安全漏洞。

内容的提问来源于stack exchange，提问作者Saarsa