此问题的原因在于防范xss攻击当設置为true时，表示创建的 Cookie 会被以安全的形式向服务器传输也就是只能在 HTTPS 连接中被浏览器传递到服务器端进行会话验证，如果是 HTTP 连接则不会傳递该信息所以不会被窃取到Cookie 的具体内容。
XSS又叫CSS (Cross Site Script) 跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码当用户浏览该页之时，嵌入其中Web里面的html代码会被执行从而达到恶意攻击用户的特殊目的。跨站点脚本攻击是一种服务器端的安全漏洞常见于当把用户的输入莋为HTML提交时，服务器端没有进行适当的过滤所致跨站点脚本攻击可能引起泄漏Web 站点用户的敏感信息。XSS属于被动式的攻击因为其被动且鈈好利用，所以许多人常忽略其危害性
为了降低跨站点脚本攻击的风险，微软公司的Internet Explorer 6 SP1引入了一项新的特性HTTP-only 这个特性是为Cookie提供了一个新屬性，用以阻止客户端脚本访问Cookie
像这样具有该属性的cookie被称为HTTP-only Cookie。包含在HTTP-only Cookie中的任何信息暴露给黑客或者恶意网站的几率将会大大降低
