Как работают access token и refresh token, если они хранятся в HttpOnly cookie и JavaScript не имеет к ним доступа?

Браузер отправляет подходящие HttpOnly cookies сам, а сервер читает токены из запроса. JavaScript не обязан видеть их значения для использования сессии.

При истечении access клиент может вызвать согласованную refresh-ручку; сервер проверит refresh и выдаст новые cookies через Set-Cookie. Cross-origin-запросы требуют корректных credentials, CORS и cookie-атрибутов. Нужна защита от CSRF, а одновременные обновления токенов следует координировать. HttpOnly ограничивает чтение, но не делает всю авторизацию безопасной автоматически.