Cookie 的 Secure 有点迷惑人

[sillydaddy]

根据官方说明，cookie 的属性项包含 secure 时，不会将 cookie 在 header 中明文发送到服务器，也就是说只有 https 协议下才会发送此 cookie ，防止被中间人攻击。

比如

document.cookie = "tagname = test; secure" 

本来这点是确保安全的，挺好。

但是根据 https://stackoverflow.com/questions/37234687/how-to-set-cookie-secure-flag-using-javascript 的解释，如果是 http 协议的话，不光不能发送，连在浏览器端通过 document.cookie=来设置都不行了——这个“禁止”动作的思维跳跃比较大。

那我怎么存一些只在浏览器端保存一段时间的信息啊？😳

[liyang5945]

Localstorage

[sillydaddy]

@liyang5945
只能如此了。

[sillydaddy]

刚看到，文档里确实有说 “Insecure sites (with http: in the URL) can't set cookies with the Secure attribute. ”

https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies#restrict_access_to_cookies