为何同域第三方设置的.name_of_cookie无法通过window.document.cookie访问？

嘿，我来帮你拆解一下这个问题的核心原因和可行的解决思路：

为什么拿不到这个Cookie？ #

这完全是HTTP-only Cookie的设计特性导致的：

• 浏览器为了防止XSS（跨站脚本攻击）窃取敏感Cookie，会对标记为HttpOnly的Cookie做严格限制——禁止任何JavaScript代码（包括window.document.cookie）读取或修改它。哪怕这个Cookie是同一域名下的第三方应用设置的，只要它带了HttpOnly属性，前端JS就碰不到它。
• 至于Cookie名字前的.，这个只是表示该Cookie是域级Cookie，会被当前域名下的所有子域名共享，但这和JS能否访问没有关系，核心限制还是来自HttpOnly。

那如果前端需要用到这个Cookie里的内容怎么办？ #

这里有几个安全可行的方案：

• 后端中转获取：让设置Cookie的第三方应用提供一个后端接口，专门把Cookie中的数据返回给前端。因为后端服务在接收请求时，浏览器会自动把HTTP-only Cookie发送给服务器，后端是可以正常读取的，然后把需要的数据通过接口响应给前端。
• 代理请求：如果你的前端有自己的后端服务，可以让前端请求自己的后端，由后端去调用第三方应用的接口（此时后端请求会自动带上目标Cookie），再把需要的数据转交给前端。
• 调整Cookie属性（谨慎使用）：如果你能控制第三方应用的Cookie设置，可以把非敏感内容从HTTP-only Cookie移到普通Cookie中，但要注意这样会失去XSS防护能力，只适合完全不敏感的信息，绝对不要把密码、token这类敏感数据放到非HTTP-only Cookie里。

重要提醒 #

HTTP-only是非常重要的安全机制，不要为了让前端能访问就随意去掉这个属性，否则会大幅提升你的应用被XSS攻击窃取敏感信息的风险。

内容的提问来源于stack exchange，提问作者Aswin