Зачем нужен флаг HttpOnly и от какой атаки он защищает?

HttpOnly запрещает доступ к cookie через JavaScript API вроде document.cookie, уменьшая риск прямой кражи сессионного токена при XSS.

Браузер продолжает автоматически отправлять такую cookie с подходящими запросами. Поэтому XSS всё ещё может выполнять действия от имени пользователя, а CSRF требует собственной защиты. HttpOnly задаётся серверным Set-Cookie и не заменяет Secure, SameSite и корректную серверную проверку сессии.