Wie kann man Cookies vor dem Zugriff durch JavaScript schützen?

Verwendung des Flags HttpOnly.

Das Flag HttpOnly weist den Browser an, dass dieses Cookie nicht über clientseitige Skripte (z.B. JavaScript) zugänglich sein soll. Dies hilft, Angriffe vom Typ Cross-Site Scripting (XSS) zu verhindern, bei denen ein Angreifer Zugriff auf den Inhalt des Cookies erhalten und sensible Informationen stehlen könnte.

Beispiel für das Setzen eines Cookies mit dem HttpOnly-Flag auf Serverseite (z.B. Node.js mit Express):

// Setzen eines Cookies "session_id" mit dem Wert "abcdef12345"
// und dem HttpOnly-Flag.
res.cookie('session_id', 'abcdef12345', { httpOnly: true });

Wenn das Cookie mit dem HttpOnly-Flag gesetzt ist, wird beim Versuch, über document.cookie oder andere clientseitige APIs darauf zuzugreifen, sein Wert im String fehlen oder leer sein, während andere Cookies ohne dieses Flag zugänglich bleiben.