如何为ASP.NET的sessionid cookie设置httponly?

ASP.NET会话cookie仅为HTTP,无论 httpOnlyCookies 设置链接到您的问题中,因为它被烧录到ASP.NET中。你不能覆盖这个。

如果你深入研究 System.Web.SessionState.SessionIDManager 在System.Web程序集中,用于创建ASP.NET会话cookie的代码如下所示:

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

它是httponly,因此客户端不能用javascript修改会话cookie。