3.
https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Set-Cookie
HttpOnly 可选
设置了 HttpOnly 属性的 cookie 不能使用 JavaScript 经由 Document.cookie 属性、XMLHttpRequest 和 Request APIs 进行访问，以防范跨站脚本攻击（XSS）。