概念

httpOnly cookie

httpOnly cookie 是一种由服务端设置的特殊 cookie，通过 HttpOnly 标记禁止 JavaScript 访问，用于存储敏感信息如 refresh token，可有效防御 XSS 攻击。

时间轴 (近 90 天)

10月12日

httpOnly cookie 由服务端通过 Set-Cookie 响应头中的 HttpOnly 标记写入，任何 JavaScript（包括 document.cookie 与 Fetch/XHR）都无法读取或修改，只能由浏览器在匹配的请求中自动携带。

待验证50%

10月12日

该指南建议采用 httpOnly cookie 承载 refresh token，前端只持有短生命周期的 access token，并在 Node API 侧对每次请求做验证。

待验证50%

该指南建议采用 httpOnly cookie 承载 refresh token，前端只持有短生命周期的 access token，并在 Node API 侧对每次请求做验证。