Чӣ гуна метавон cookies-ро аз дастрасӣ аз ҷониби JavaScript муҳофизат кард?

Истифодаи флаг HttpOnly.

Флаг HttpOnly ба браузер нишон медиҳад, ки ин куки набояд тавассути скриптҳои мизоҷ (масалан, JavaScript) дастрас бошад. Ин кӯмак мекунад, ки ҳуҷумҳои навъи cross-site scripting (XSS) пешгирӣ шаванд, ки дар он ҳакер метавонад ба мундариҷаи куки дастрасӣ пайдо кунад ва маълумоти ҳассосро дуздӣ кунад.

Масалан, дар сервер (масалан, Node.js бо Express) куки бо флаги HttpOnly чӣ гуна танзим кардан:

// Танзим кардани куки "session_id" бо арзиши "abcdef12345"
// ва флаги `HttpOnly`.
res.cookie('session_id', 'abcdef12345', { httpOnly: true });

Агар куки бо флаги HttpOnly танзим шуда бошад, кӯшиши дастрасӣ ба он тавассути document.cookie ё дигар API-и мизоҷ, арзиши онро дар сатр намоиш намедиҳад ё холӣ бармегардонад, дар ҳоле ки дигар кукиҳо бе ин флаг дастрас мебошанд.