https://rifco.ru/blog/2016/09/16/%d0%b4%d0%be%d0%bf%d0%be%d0%bb%d0%bd%d0%b8%d1%82%d0%b5%d0%bb%d1%8c%d0%bd%d0%b0%d1%8f-%d0%b7%d0%b0%d1%89%d0%b8%d1%82%d0%b0-%d0%ba%d1%83%d0%ba/
Дополнительная защита кук - флаг session.cookie_httponly