httpOnly

配合前端 httpOnly cookie 存储策略，防止 XSS 攻击。