Как запретить доступ клиента к Cookie

Для запрета доступа клиента к Cookie можно использовать флаг HttpOnly. Это предотвращает доступ к кукам через JavaScript, защищая от атак типа XSS.

Пример установки HttpOnly куки на сервере:

// Node.js с Express
res.cookie('sessionId', '12345', {
  httpOnly: true,
  secure: true, // рекомендуется для HTTPS
  sameSite: 'strict' // защита от CSRF
});

Другие важные параметры:

• Secure - передача только по HTTPS
• SameSite - защита от межсайтовых запросов
• Max-Age/Expires - ограничение времени жизни

Важно: HttpOnly не защищает от MITM-атак, для этого нужен HTTPS (secure: true).