Come si possono proteggere i cookie dall'accesso da parte di JavaScript?

Utilizzando il flag HttpOnly.

Il flag HttpOnly indica al browser che questo cookie non deve essere accessibile tramite script lato client (ad esempio, JavaScript). Questo aiuta a prevenire attacchi di tipo cross-site scripting (XSS), in cui un malintenzionato può accedere al contenuto del cookie e rubare informazioni sensibili.

Esempio di impostazione di un cookie con il flag HttpOnly lato server (ad esempio, Node.js con Express):

// Impostare il cookie "session_id" con il valore "abcdef12345"
// e il flag HttpOnly.
res.cookie('session_id', 'abcdef12345', { httpOnly: true });

Se il cookie è impostato con il flag HttpOnly, tentando di accedervi tramite document.cookie o altre API client, il suo valore non sarà presente nella stringa o restituirà un valore vuoto, mentre altri cookie senza questo flag saranno accessibili.