What is the purpose of the HTTPOnly flag in a cookie?

Đáp án đúng: "To prevent JavaScript code from accessing the cookie, which can help prevent cross-site scripting (XSS) attacks.". Cookie gắn cờ HttpOnly vẫn được trình duyệt gửi kèm mọi request tới máy chủ, nhưng không đọc được qua document.cookie trong JavaScript phía trình duyệt; vì vậy nếu trang bị chèn script độc (XSS), kẻ tấn công không lấy được cookie phiên hay token. Trong Express, cờ này đặt bằng tuỳ chọn httpOnly của res.cookie. "To ensure that the cookie can only be accessed by the domain" mô tả thuộc tính Domain cùng chính sách cùng nguồn, không phải HttpOnly. "To prevent the cookie from being sent over an unencrypted connection." là vai trò của cờ Secure, chỉ cho gửi cookie qua HTTPS. "To set an expiration date for the cookie." là việc của thuộc tính Expires hoặc Max-Age.