WWW服务依赖于Http协议实现，Http是无状态的协议，所以为了在各个会话之间传递信息，就需要使用Cookie来标记访问者的状态，以便服务器端识别用户信息。
Cookie由变量名与值组成，其属性里有标准的cookie变量，也有用户自定义的属性。Cookie保存在浏览器的document对象中，对于存在XSS漏洞的网站，入侵者可以插入简单的XSS语句执行任意的JS脚本，以XSS攻击的手段获取网站其余用户的Cookie。
Cookie是通过http response header种到浏览器的，设置Cookie的语法为：
Set-Cookie:=[;=][;expiress=][;domain=][;path=][;secure][;httponly]
Cookie各个参数详细内容：
-
Set-Cookie:http响应头，向客户端发送Cookie。
-
Name=value:每个Cookie必须包含的内容。
-
Expires=date:EXpires确定了Cookie的有效终止日期，可选。如果缺省，则Cookie不保存在硬盘中，只保存在浏览器内存中。
-
Domain=domain-name:确定了哪些inernet域中的web服务器可读取浏览器储存的Cookie，缺省为该web服务器域名。
-
Path=path:定义了web服务器哪些路径下的页面可获取服务器发送的Cookie。
-
Secure:在cookie中标记该变量，表明只有为https通信协议时，浏览器才向服务器提交Cookie。
-
Httponly:禁止javascript读取,如果cookie中的一个参数带有httponly，则这个参数将不能被javascript获取；httponly可以防止xss会话劫持攻击。
想要获取到用户的Cookie，攻击者通常是利用网站的XSS漏洞进行用户Cookie的窃取，跨站脚本简称xss（cross-site scripting），利用方式主要是借助网站本身设计不严谨，导致执行用户提交的恶意js脚本，对网站自身造成危害。xss漏洞是web渗透测试中最常见而又使用最灵活的一个漏洞。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。
有的网站考虑到这个问题，所以采用浏览器绑定技术，例如将Cookie和浏览器的User-agent进行绑定，一旦发现绑定不匹配则认为Cookie失效，但是这种方法存在很大的弊端，因为当入侵者获取到Cookie的同时也能获取到用户的User-agent;另一种防止XSS获取用户Cookie的方式是将Cookie和Remote-addr相绑定（即与IP绑定），但是这样的弊端是可能会带来极差的用户体验，如家里的ADSL拨号上网就是每次拨号连接更换一个IP地址。
所以HttpOnly就应运而生了 ??
HttpOnly最早由微软提出，并在IE6 中实现，至今已经逐渐成为一个标准，各大浏览器都支持此标准。具体含义就是，如果某个Cookie带有HttpOnly属性，那么这一条Cookie将被禁止读取，也就是说，JavaScript读取不到此条Cookie，不过在用户与服务端交互的时候，HttpRequest包中仍然会带上这个Cookie信息，即用户与服务端的正常交互不受影响。
HttpOnly的设置过程十分简单，而且效果明显。可以看到在上面的Cookie的参数里面存在：
Httponly:禁止javascript读取,如果cookie中的一个参数带有httponly，则这个参数将不能被javascript获取；httponly可以防止xss会话劫持攻击。
该参数如其名，就是设置HttpOnly的。
但需要注意的是，所有需要设置Cookie的地方，都要给关键的Cookie添加上HttpOnly，若有遗漏的话就会功亏一篑。
另外，HttpOnly不是万能的，添加了HttpOnly不等于解决了XSS问题，它有助于缓解XSS攻击，但它并不能解决XSS漏洞的问题，也就是使用了HttpOnly只是在一定程度上抵御XSS盗取Cookie的行为，另外HttpOnly也不能防止入侵者做AJAX提交。严格来说HttpOnly并不是为了对抗XSS，它解决的是XSS后的Cookie劫持问题，但是XSS攻击带来的不仅仅是Cookie劫持问题，还有窃取用户信息，模拟身份登录，操作用户账户等一系列问题。所以除了HttpOnly之外还需要其他的对抗解决方案。
安全是一个整体，网络安全没有银弹，最好的应对方式是抓住当下，脚踏实地，所有妄想一步解决所有问题的都是耍流氓
参考链接：
https://juejin.im/post/5bac9e21f265da0afe62ec1b
https://www.biaodianfu.com/http-only-cookie-xss.html