为什么 document.cookie 不显示站点的所有 cookie？

Question

我去一个使用 vBulletin 3.8 的论坛。当我登录时，我使用 firebug 查看设置了哪些 cookie。我看到了这些 cookie：

__utmb、__utmc、__utma、__utmz、bbsessionhash、vbseo_loggedin、bbpassword、bbuserid、bblastactivity、bblastvisit

它们都有一个值集，并且域是相同的。

但是当我使用 JavaScript 查看它们时，它只看到了这些 cookie：

__utmb、__utmc、__utma、__utmz、vbseo_loggedin、bblastactivity、bblastvisit

在 firebug 中，我只看到实际设置的这三个 cookie：bbsessionhash、bbpasword 和 bbuserid。 HTTPOnly 列中的 HTTPOnly。这是什么意思，这就是我在 JavaScript 中使用 document.cookie 看不到这些 cookie 的原因？

Answer 1

来自http://en.wikipedia.org/wiki/HTTP_cookie：

Cookies 不直接可见 客户端程序，例如 JavaScript（如果已发送） HttpOnly 标志。从点 服务器的视图，唯一的 相对于正常的差异 情况是 set-cookie 标头 行添加了一个新字段，其中包含 字符串`HttpOnly'：

Set-Cookie: RMID=732423sdfs73242; expires=Fri, 31-Dec-2010 23:59:59 GMT; path=/; domain=.example.net; HttpOnly

当浏览器收到这样的 cookie，它应该用作 通常在以下 HTTP 交换中， 但不要让它可见 客户端脚本。 HttpOnly 标志不是任何标准的一部分，也不是在所有浏览器中都实现。

2017 年更新： 自 2009 年以来已经过去了很多时间，HttpOnly 标头标志已成为标准，在 section 5.2.6 of RFC6265 中定义，存储语义在同一文档中描述（在整个 RFC 文本中查找“http-only-flag”）。

没有方法可以从“非 HTTP”API 访问有关 HttpOnly cookie 的任何内容，例如JavaScript。按照设计，既不能读取也不能写入此类 cookie。