1.什么是HttpOnly?
如果您在cookie中設置了HttpOnly屬性，那么通過js腳本將無法讀取到cookie信息，這樣能有效的防止XSS攻擊，具體一點的介紹請google進行搜索
2.javaEE的API是否支持?
目前sun公司還沒有公布相關的API，但PHP、C#均有實現。搞javaEE的兄弟們比較郁悶了，別急下文有變通實現
3.HttpOnly的設置樣例
javaEE
response.setHeader("Set-Cookie", "cookiename=value;
Path=/;Domain=domainvalue;Max-Age=seconds;HTTPOnly");
具體參數的含義再次不做闡述，設置完畢后通過js腳本是讀不到該cookie的，但使用如下方式可以讀取
Cookie cookies[]=request.getCookies();
C#
HttpCookie myCookie = new HttpCookie("myCookie");
myCookie.HttpOnly = true;
Response.AppendCookie(myCookie);
VB.NET
Dim myCookie As HttpCookie = new HttpCookie("myCookie")
myCookie.HttpOnly = True
Response.AppendCookie(myCookie)
但是在 .NET 1.1 ,中您需要手動添加
Response.Cookies[cookie].Path += ";HTTPOnly";
PHP4
header("Set-Cookie: hidden=value; httpOnly");
PHP5
setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);
最后一個參數為HttpOnly屬性
參考
http://www.owasp.org/index.php/HTTPOnly
轉自：http://yzd.iteye.com/blog/787190
http://www.oschina.net/question/100267_65116
將cookie設置成HttpOnly是為了防止XSS攻擊，竊取cookie內容，這樣就增加了cookie的安全性，即便是這樣，也不要將重要信息存入cookie。
如何在Java中設置cookie是HttpOnly呢？
Servlet 2.5 API 不支持 cookie設置HttpOnly
http://docs.oracle.com/cd/E17802_01/products/products/servlet/2.5/docs/servlet-2_5-mr2/
建議升級Tomcat7.0，它已經實現了Servlet3.0
http://tomcat.apache.org/tomcat-7.0-doc/servletapi/javax/servlet/http/Cookie.html
但是苦逼的是現實是，老板是不會讓你升級的。
那就介紹另外一種辦法：
利用HttpResponse的addHeader方法，設置Set-Cookie的值
cookie字符串的格式：key=value; Expires=date; Path=path; Domain=domain; Secure; HttpOnly
//設置cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; HttpOnly");
//設置多個cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; HttpOnly");
response.addHeader("Set-Cookie", "timeout=30; Path=/test; HttpOnly");
//設置https的cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; Secure; HttpOnly");
在實際使用中，我們可以使FireCookie查看我們設置的Cookie 是否是HttpOnly
http://zhenghaoju700.blog.163.com/blog/static/13585951820138267195385/