Kako zaštititi kolačiće od pristupa sa strane JavaScript-a?

Korišćenje zastavice HttpOnly.

Zastavica HttpOnly ukazuje pregledaču da ovaj kolačić ne bi trebalo da bude dostupan putem klijentskih skripti (npr. JavaScript). Ovo pomaže u sprečavanju napada tipa cross-site scripting (XSS), gde napadač može pristupiti sadržaju kolačića i ukrasti osetljive informacije.

Primer podešavanja kolačića sa zastavicom HttpOnly na strani servera (npr. Node.js sa Express):

// Podešavanje kolačića "session_id" sa vrednošću "abcdef12345"
// i zastavicom HttpOnly.
res.cookie('session_id', 'abcdef12345', { httpOnly: true });

Ako je kolačić podešen sa zastavicom HttpOnly, pokušaj pristupa putem document.cookie ili drugih API-ja klijenta će rezultirati time da njegova vrednost nije dostupna u nizu ili će biti prazna, dok će ostali kolačići bez ove zastavice biti dostupni.