Phiên đăng nhập là cookie httpOnly do máy chủ đặt — trang không đọc được nó, và cũng không giữ token nào trong localStorage.