послушай, ну ты же понимаешь, что если auth. кука не http-only - то это пиздец пиздецов.

Вот если бы ты сказал мне про SSO токены, которые повадились в локал стореджах хранить - то я бы еще согласился, в некоторой степени.