[имя] спросил: как выполнять refresh-запросы, если токены находятся в HttpOnly-cookie и JavaScript не имеет к ним доступа?

JavaScript вызывает refresh endpoint, а браузер сам прикладывает подходящую cookie; читать её значение клиентскому коду не требуется.

Для cross-origin fetch настройте credentials и точный CORS-контракт, учитывая SameSite. Сервер проверяет refresh и выдаёт обновлённую cookie через Set-Cookie либо access-результат по выбранной схеме. Защитите endpoint от CSRF и объединяйте параллельные refresh-запросы, чтобы избежать гонок ротации.