Кстати, это серьезный вопрос - этот httponly - он стандарт или очередная попытка заткнуть архитектурую дыру? Кто-нибудь системно о нем думал? Может там по другому нужно проблему решать?

Это я по опыту решения проблем фирмой майкрософт сужу а не по конкретной технологии - про нее я, стыдно сказать, первый раз слышу.