Jak lze chránit cookies před přístupem ze strany JavaScriptu?

Použití vlajky HttpOnly.

Vlajka HttpOnly označuje prohlížeči, že tento cookie by nem měl být přístupný prostřednictvím skriptů na straně klienta (například JavaScript). To pomáhá zabránit útokům typu cross-site scripting (XSS), kdy útočník může získat přístup k obsahu cookie a ukrást citlivé informace.

Příklad nastavení cookie s vlajkou HttpOnly na straně serveru (například Node.js s Express):

// Nastavení cookie "session_id" s hodnotou "abcdef12345"
// a vlajkou HttpOnly.
res.cookie('session_id', 'abcdef12345', { httpOnly: true });

Pokud je cookie nastavena s vlajkou HttpOnly, při pokusu o její přístup přes document.cookie nebo jiné API klienta její hodnota nebude v řetězci viditelná nebo bude prázdná, zatímco jiné cookie bez této vlajky budou dostupné.