на текущий момент я имею просто селф хсс, если как-то удалось бы поставить юзеру свою сессионку, она же не обязательно должна быть httponly, как у юзера, то я бы смог получить stored нормальный, без возможность спереть его сессионку нормальную, тк она httponly, но возможно спереть что-то другое