セッションCookieに対して「HttpOnly」フラグを設定する主な目的はどれか。

HttpOnly属性が付いたCookieは、ブラウザがスクリプトからの読み取りをブロックするため、万が一XSS脆弱性があってもセッションハイジャックを防げる可能性が高まる。