如何检测HTTP Cookies是否带有Secure、HttpOnly标志？

早上好！很高兴能帮你解答关于Cookie标志检测的问题，这里有几种简单又实用的方法，不管是用浏览器开发者工具还是命令行工具都能轻松搞定：

几乎所有现代浏览器（Chrome、Firefox、Edge等）都自带这个工具，操作步骤超简单：

• 打开你的目标网站，按下F12或者右键页面选择「检查」，打开开发者工具面板
• 切换到「Application」标签（Chrome/Edge）或者「存储」标签（Firefox）
• 在左侧导航栏里找到「Cookies」选项，点击展开后选择你的网站域名
• 右侧的Cookie列表里会直接显示Secure和HttpOnly这两列，打勾就代表对应Cookie带有这个标志

如果需要批量检测多个域名，或者要做自动化测试，curl是个不错的选择：

• 在终端里运行命令（把your-domain.com换成你的实际域名）：
  curl -v --head https://your-domain.com
• 查看返回的响应头里的Set-Cookie字段，里面会明确标注Secure和HttpOnly，比如：

  Set-Cookie: session_token=xyz789; Path=/; Secure; HttpOnly

要注意的是，带有HttpOnly标志的Cookie是禁止前端JavaScript访问的，所以这个方法只能验证没有该标志的Cookie：

• 打开浏览器控制台（F12切换到「Console」标签）
• 输入document.cookie并回车，会返回当前页面所有非HttpOnly的Cookie
• 要判断某个Cookie是否带有Secure标志，可以切换到HTTP环境（如果网站支持的话），此时带有Secure的Cookie不会出现在document.cookie的返回结果里

如果需要做更复杂的批量监控，也可以用Python的requests库写个简单脚本，自动解析响应头里的Set-Cookie字段，提取并检查这两个标志的存在情况。

内容的提问来源于stack exchange，提问作者Sahala Riyadi