Что такое browser only cookie

Browser-only cookies (или HTTP-only cookies) — это куки, которые доступны только для HTTP-запросов и не могут быть прочитаны или изменены через JavaScript. Это повышает безопасность, защищая куки от XSS-атак (Cross-Site Scripting).

Пример установки HTTP-only куки в Python с помощью Flask:

from flask import Flask, make_response

app = Flask(__name__)

@app.route('/')
def set_cookie():
    resp = make_response("Cookie set!")
    resp.set_cookie('secure_cookie', 'value', httponly=True)
    return resp

Ключевые особенности:

• Доступны только серверу
• Не видны в document.cookie
• Передаются автоматически с каждым HTTP-запросом
• Часто используются для хранения сессионных токенов

Для максимальной безопасности их обычно комбинируют с флагами Secure (только HTTPS) и SameSite.