为何仅HTTP站点会发送带Secure/HttpOnly标记的Session Cookie？

嘿，这个问题我之前也帮人排查过，咱们先把两个Cookie标记的核心作用掰扯清楚，你就能明白问题出在哪了：

先明确两个标记的实际作用 #

• HttpOnly：这个标记的唯一作用是禁止客户端JavaScript读取该Cookie，完全不影响浏览器向服务器发送Cookie。不管是HTTP还是HTTPS请求，只要Cookie的Path、Domain等匹配条件符合，浏览器都会正常发送它，HttpOnly管不着这个逻辑。
• Secure：按照HTTP标准规范，这个标记要求浏览器只有在HTTPS加密请求中才会携带该Cookie，HTTP明文请求里应该自动忽略它。

为什么你的场景里HTTP下还会发送？ #

大概率是下面几种情况之一：

1. 服务器配置失误：虽然站点只支持HTTP，但服务器在响应头里错误地给Cookie加上了Secure标记——这属于后端配置的问题。理论上浏览器应该遵守Secure规则不发送，但部分旧版本浏览器或者特定环境下可能出现“不严格校验”的情况。
2. 测试工具的特殊处理：如果你是用curl、Postman这类工具手动发送请求，有些工具默认不会严格遵循Cookie的Secure规则，会直接把你提供的Cookie附在请求里，这时候看起来像是HTTP下发送了，但实际浏览器环境里可能不会这样。
3. 浏览器的本地开发豁免：如果你是在localhost这类本地环境测试，部分浏览器会对Secure标记放宽限制，允许HTTP请求发送带Secure的Cookie，这是为了方便开发者调试。

怎么验证真实场景？ #

打开浏览器开发者工具（F12），切换到「网络」标签，重新发起请求，查看请求头里的Cookie字段，确认这个带Secure标记的session_id是不是真的被浏览器自动发送了。如果是浏览器自动发送的，那大概率是服务器配置出问题了，需要修正响应头里的Cookie规则；如果只是工具手动携带的，那属于正常情况，不用慌。

内容的提问来源于stack exchange，提问作者Solenya