Хммм... Неплохой финт ноздрями...
Но по IP обойти можно... В теории =)
А HttpOnly всё-таки заюзай: ставить - легко; узнать - очень проблематично.