Вы можете прочитать куки в REQUEST token import { REQUEST } from '@nguniversal/express-engine/tokens' или используя @ngx-utils/cookies. а что значит httpOnly?
httpOnly флаг делает куки более безопасными, тк к ним нет доступа из js, на клиенте но вопрос был именно доступно ли на universal, я попробровала руками закинуть httpOnly куки, вроде работало, но именно не руками закинутую куку нет возможности проверить
У нас уже давно есть токен WINDOW, который так и создаётся. Вот в этой либе, вместе с кучей остальных глобальных объектов: https://github.com/ng-web-apis/common Только там в Юниверсал кроме обратной ссылки на документ почти ничего и нет.