能否在IE11的ActiveX中通过IHTMLDocument2访问HttpOnly会话Cookie？

1. 能否通过IHTMLDocument2::cookie访问HttpOnly会话Cookie？ #

答案是不行。HttpOnly Cookie的核心设计目标就是阻止客户端脚本（包括通过ActiveX组件调用DOM接口的场景）读取这类Cookie，这是IE11（以及所有现代浏览器）的安全防护机制。

你提供的这段代码：

CComPtr<IHTMLDocument2> pDoc; // get document from event as shown in the sample.
// read the cookie
CComBSTR cookie;
hr = pDoc->get_cookie(&cookie);

只能获取到非HttpOnly标记的Cookie，HttpOnly的会话Cookie会被浏览器过滤掉，无法通过这个接口拿到。

2. 有没有其他方法在ActiveX中访问IE当前网站的所有Cookie？ #

这取决于你的ActiveX组件类型和权限：

• 如果是浏览器辅助对象(BHO)：你可以使用WinINet API中的InternetGetCookieEx函数来读取HttpOnly Cookie。这个API可以绕过DOM的限制，但需要正确配置参数（比如指定INTERNET_COOKIE_HTTPONLY标志），并且你的BHO需要拥有足够的系统权限。示例代码大致如下：

  DWORD dwSize = 0;
  // 先获取需要的缓冲区大小
  InternetGetCookieEx(L"https://your-target-site.com", NULL, NULL, &dwSize, INTERNET_COOKIE_HTTPONLY, NULL);
  if (GetLastError() == ERROR_INSUFFICIENT_BUFFER) {
      wchar_t* pCookieData = new wchar_t[dwSize];
      if (InternetGetCookieEx(L"https://your-target-site.com", NULL, pCookieData, &dwSize, INTERNET_COOKIE_HTTPONLY, NULL)) {
          // 这里pCookieData包含了包括HttpOnly在内的所有Cookie
      }
      delete[] pCookieData;
  }
  

  注意：调用这个API时需要确保目标URL和当前IE标签页的URL匹配，同时要处理浏览器的隐私设置可能带来的限制。

• 如果是嵌入网页的普通ActiveX控件：这种情况下受限于IE的安全沙箱，几乎无法获取HttpOnly Cookie。浏览器会严格限制这类控件的权限，防止恶意代码窃取敏感的会话凭证。如果一定要获取，可能需要服务器端调整Cookie属性（但不建议去掉HttpOnly，这会大幅降低安全性），或者通过网页脚本将非HttpOnly的必要信息传递给ActiveX。

最后要强调：HttpOnly是保护用户会话安全的重要机制，除非有绝对必要且能保证组件的安全性，否则不要尝试绕过这个限制。

内容的提问来源于stack exchange，提问作者IT Hit WebDAV