将Cookie设置为HttpOnly是为了增加cookie的安全性，防止恶意脚本获取Cookie，从而防止XSS攻击和某些CSRF攻击。HttpOnly的cookie仅能通过HTTP（和HTTPS）协议访问，而不能通过JavaScript等脚本访问。这样即使有XSS攻击成功注入了恶意脚本，也无法读取到cookie的值，提高了cookie的安全性。
底层原理是在服务器端生成一个HttpOnly标志，浏览器在接收到这个cookie后，即使在用户计算机中运行的JavaScript代码也不能访问该cookie。这是通过向cookie添加HttpOnly属性来实现的。浏览器检测到HttpOnly属性时，将不允许通过document.cookie或通过任何脚本来访问cookie。
需要注意的是，HttpOnly不能完全保护cookie，只能提高cookie的安全性，还需要其他措施来防止攻击，如使用HTTPS协议、避免使用明文cookie等。
