Você mencionou que o cookie httpOnly ajudava a combater ataques XSS, correto? Como?

HttpOnly cookie — это специальный флаг, который можно установить у cookie, чтобы сделать его недоступным для JavaScript в браузере. Это помогает бороться с XSS-атаками, потому что даже если злоумышленник внедрит вредоносный скрипт на страницу, он не сможет прочитать или изменить такие cookie через document.cookie.

Таким образом, важные данные сессии или токены аутентификации, помеченные как HttpOnly, защищены от кражи через XSS. Однако это не предотвращает саму XSS-атаку, а лишь ограничивает возможности злоумышленника по доступу к cookie.