Kaip apsaugoti slapukus nuo JavaScript prieigos?

Naudojant HttpOnly žymeklį.

HttpOnly žymeklis nurodo naršyklei, kad šis slapukas neturėtų būti pasiekiamas per kliento pusės skriptus (pavyzdžiui, JavaScript). Tai padeda užkirsti kelią cross-site scripting (XSS) atakoms, kai užpuolikas gali pasiekti slapuko turinį ir pavogti jautrią informaciją.

Pavyzdys, kaip nustatyti slapuką su HttpOnly žymekliu serveryje (pavyzdžiui, Node.js su Express):

// Nustatome slapuką "session_id" su reikšme "abcdef12345"
// ir `HttpOnly` žymekliu.
res.cookie('session_id', 'abcdef12345', { httpOnly: true });

Jei slapukas nustatytas su HttpOnly žymekliu, bandant prieiti prie jo per document.cookie ar kitus kliento API, jo reikšmė nebus matoma eilutėje arba grąžins tuščią, o kiti slapukai be šio žymeklio bus pasiekiami.