Как можете да защитите бисквитките от достъп от страна на JavaScript?

Използване на флага HttpOnly.

Флагът HttpOnly указва на браузъра, че тази бисквитка не трябва да бъде достъпна чрез клиентски скриптове (например JavaScript). Това помага за предотвратяване на атаки тип cross-site scripting (XSS), при които злонамерен потребител може да получи достъп до съдържанието на бисквитката и да открадне чувствителна информация.

Пример за настройка на бисквитка с флага HttpOnly на сървърната страна (например, Node.js с Express):

// Настройване на бисквитка "session_id" със стойност "abcdef12345"
// и флаг `HttpOnly`.
res.cookie('session_id', 'abcdef12345', { httpOnly: true });

Ако бисквитката е настроена с флага HttpOnly, при опит да се достъпи чрез document.cookie или други API на клиента, нейното стойност няма да бъде видима в низ или ще връща празна стойност, докато други бисквитки без този флаг ще бъдат достъпни.