и стоит ли стараться предотвратить xss?
Как установить HttpOnly cookie в Django?
Ответ 1
SESSION_COOKIE_PATH = '/;HttpOnly'
Обсуждение можно найти здесь: http://groups.google.com/group/django-users/browse_thread/thread/bd7f562d5b938054/a229073ae836f4d2?lnk=raot&pli=1
Ответ 2
Использование
SESSION_COOKIE_HTTPONLY = True
в settings.py