REST-аутентификация

С помощью аутентификации RESTful в приложении Javascript состояние сохраняется на клиенте.
Запросы к серверу должны быть независимы друг от друга, и аутентификация должна выполняться при каждом запросе.

Это будет означать, что пароль или токен доступа (аутентификация в социальных сетях) хранятся на клиенте в виде файла cookie. Кажется, нет никакого способа обойти это.
Файлы cookie по-прежнему считаются «общедоступными» с точки зрения безопасности, поскольку возможная атака XSS может дать злоумышленнику доступ к файлам cookie.
С другой стороны, в базе данных пароль / токен доступа должны храниться также в зашифрованном виде.

Так что я не понимаю. Не имеет смысла шифровать пароль / токен доступа и затем сохранять его в файле cookie. Если злоумышленник получает в руки файл cookie, зашифрованные учетные данные пользователя так же небезопасны и могут использоваться для сопоставления с зашифрованным паролем, который хранится в базе данных.

Так или иначе; если cookie-файл украден, злоумышленник имеет те же права доступа, что и пользователь. Как я могу предотвратить это?

Обратите внимание, что я хочу использовать аутентификацию RESTful, когда пользователь аутентифицируется на каждый запрос независимо.