如何为WKHTTPCookieStore设置HttpOnly Cookie？解决设置后标志失效问题

你遇到的这个问题其实是Apple的安全限制导致的——客户端代码直接调用WKHTTPCookieStore.setCookie(_:completionHandler:)时，系统会强制把Cookie的HttpOnly属性设为false。这是因为HttpOnly的核心设计是防止JavaScript读取Cookie（抵御XSS攻击），而App本身的原生代码已经拥有完全的权限访问Cookie，所以Apple不允许客户端手动设置带有HttpOnly标志的Cookie，避免破坏这个安全机制。

正确设置HttpOnly Cookie到WKHTTPCookieStore的方法 #

要让HttpOnly Cookie被正确存入WKHTTPCookieStore，必须让WKWebView通过解析服务器返回的Set-Cookie响应头来自动处理Cookie，这样HttpOnly标志会被完整保留。下面提供两种可行的实现方式：

1. 加载带Set-Cookie响应的服务器页面

如果你的后端可以提供一个专门的接口（比如/set-cookie），在响应头里返回包含HttpOnly=true的Cookie，直接让WKWebView加载这个接口即可：

let webView = WKWebView(frame: view.bounds)
view.addSubview(webView)

// 加载后端接口，接口返回Set-Cookie: your_cookie=value; HttpOnly; Path=/; Domain=yourdomain.com
webView.load(URLRequest(url: URL(string: "https://yourdomain.com/set-cookie")!))

WKWebView会自动解析响应头里的Cookie，并存入WKHTTPCookieStore，此时Cookie的HttpOnly属性会保持为true，JavaScript无法通过document.cookie读取。

2. 用自定义URL Scheme模拟Set-Cookie响应

如果没有后端支持，可以通过自定义URL Scheme和WKURLSchemeHandler来模拟服务器响应，手动构造带Set-Cookie的响应头：

首先实现一个自定义的Scheme Handler：

class CustomCookieHandler: NSObject, WKURLSchemeHandler {
    func webView(_ webView: WKWebView, start urlSchemeTask: WKURLSchemeTask) {
        guard let url = urlSchemeTask.request.url, url.scheme == "app-cookie" else {
            urlSchemeTask.didFailWithError(NSError(domain: "CookieSetup", code: -1, userInfo: [NSLocalizedDescriptionKey: "Invalid scheme"]))
            return
        }
        
        // 构造包含HttpOnly的Set-Cookie响应头
        let responseHeaders = [
            "Set-Cookie": "session_id=abc123; HttpOnly; Path=/; Domain=.yourdomain.com; Secure"
        ]
        
        guard let response = HTTPURLResponse(url: url, statusCode: 200, httpVersion: "HTTP/1.1", headerFields: responseHeaders) else {
            urlSchemeTask.didFailWithError(NSError(domain: "CookieSetup", code: -2, userInfo: [NSLocalizedDescriptionKey: "Failed to create response"]))
            return
        }
        
        urlSchemeTask.didReceive(response)
        urlSchemeTask.didFinish()
    }
    
    func webView(_ webView: WKWebView, stop urlSchemeTask: WKURLSchemeTask) {}
}

然后初始化WKWebView时注册这个Handler：

let config = WKWebViewConfiguration()
let cookieHandler = CustomCookieHandler()
config.setURLSchemeHandler(cookieHandler, forURLScheme: "app-cookie")

let webView = WKWebView(frame: view.bounds, configuration: config)
view.addSubview(webView)

// 加载自定义Scheme的URL，触发Cookie设置
webView.load(URLRequest(url: URL(string: "app-cookie://setup")!))

这种方式不需要后端支持，完全在App内完成HttpOnly Cookie的设置，效果和服务器响应一致。

关键注意事项 #

• 不要尝试绕开系统的HttpOnly限制：任何通过原生代码直接设置的Cookie，HttpOnly都会被强制设为false，这是不可改变的安全规则。
• 确保Cookie的Domain和Path设置正确：否则Cookie可能无法被正确关联到你的目标网页。
• 对于iOS 11+，WKHTTPCookieStore和NSHTTPCookieStorage是部分同步的，但直接通过NSHTTPCookieStorage设置HttpOnly Cookie也不会同步到WKHTTPCookieStore，所以还是得用上述方法。

内容的提问来源于stack exchange，提问作者S.Captain