Kā aizsargāt sīkfailus no piekļuves ar JavaScript?

Izmantojot HttpOnly zīmi.

HttpOnly zīme norāda pārlūkprogrammai, ka šis sīkdatne nedrīkst būt pieejama no klienta puses skriptiem (piemēram, JavaScript). Tas palīdz novērst cross-site scripting (XSS) uzbrukumus, kad uzbrucējs var piekļūt sīkdatnes saturam un nozagt jutīgu informāciju.

Piemērs, kā iestatīt sīkfailu ar HttpOnly zīmi servera pusē (piemēram, Node.js ar Express):

// Iestatīt sīkfailu "session_id" ar vērtību "abcdef12345"
// un `HttpOnly` zīmi.
res.cookie('session_id', 'abcdef12345', { httpOnly: true });

Ja sīkdatne ir iestatīta ar HttpOnly zīmi, mēģinot piekļūt tai caur document.cookie vai citām klienta API, tās vērtība nebūs redzama vai būs tukša, kamēr citas sīkdatnes bez šīs zīmes būs pieejamas.