HttpOnly запрещает доступ к cookie через document.cookie, но браузер продолжает отправлять её в подходящих HTTP-запросах.
Для чего нужен флаг HttpOnly у cookie?
HttpOnly запрещает доступ к cookie через document.cookie, но браузер продолжает отправлять её в подходящих HTTP-запросах.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
HttpOnly запрещает доступ к cookie через document.cookie, но браузер продолжает отправлять её в подходящих HTTP-запросах.
Это уменьшает риск кражи значения cookie через JavaScript, однако XSS всё ещё может выполнять действия от имени пользователя. HttpOnly не заменяет Secure, SameSite, защиту от CSRF и серверную проверку прав.