Если бы в Мозилле было HttpOnly (пункт 2), то не нужно было бы менять схему авторизации.

Я написал полный патч для поддержки HttpOnly в Мозиллу два года назад, запостил его в Багзиллу, исправил кое-что вследствие критики, и так он до сих пор там и лежит, потому что девелоперы решили, что правильнее будет сначала полностью переделать устройсто файла cookies.txt. А это так до сих пор никто и не сделал.

Если бы модель разработки Мозиллы реально работала так, как она должна была работать, HttpOnly давно бы уже был в Мозилле, в нескольких последних версиях.