Что такое флаг HttpOnly в Cookies

Флаг HttpOnly в куках предотвращает доступ к cookie через JavaScript (например, через document.cookie). Это мера безопасности для защиты от XSS-атак, так как злохибник не сможет украсть куки даже при успешной инъекции скрипта.

Пример установки такого кука на сервере (Node.js + Express):

res.cookie('sessionId', '123abc', {
  httpOnly: true,
  secure: true // рекомендуется использовать с HTTPS
});

Важно: HttpOnly не защищает от CSRF-атак, для этого нужны другие меры (например, CSRF-токены). Также куки остаются уязвимыми при MITM-атаках без флага secure и HTTPS.