Мне кажется httpOnly не получится, в твоём случае
Та прикол в том,что вчера у меня не получалось записать в куки,но сегодня я проснулся с классной идеей,проверить ,приходят ли они вообще,так как на клиенте есть куки.Но мою удивление,когда пришел пустой объект...