Хорошо, я проверил это.
Готовить ie с HttpOnly, установленным на true, по-прежнему будет отправляться с использованием ReactJS, выборки или любого другого запроса, сделанного с помощью JS, Вы просто не можете прочитать его, используя JS, но при использовании HttpPost, HttpGet или другого браузер по-прежнему подключает его к запросу, даже если это HttpOnly.
Думаю, урок в том, что браузер обрабатывает установку файлов cookie для запросов , и ему все равно, если запрос сделан HTML или JavaScript.