クッキー（およびセッション）を「特定のサブドメインで使用不可」にする方法を教えて下さい。

例）
www.domain.com（クッキーAを使用可）
sub1.domain.com（クッキーAを使用可）
sub2.domain.com（クッキーAを使用可）
user.domain.com（クッキーAを使用不可）

wwwでユーザー登録／認証をしてユーザーIDとパスワードをクッキーに保存します（クッキーA）。

また、クッキーAはsub1, sub2など他のドメインで読み書きします。

user以下でユーザーページを作成、ユーザーページではHTML/JavaScriptをフルに使用可能にしようと考えています。そのためXSSを考慮しuser以下ではクッキーAを読めないようにしたいのです。

セキュリティーをクリアしたかたちでuser以下でクッキー（およびセッション）を使用不可にする方法を教えて下さい。よろしくお願い致します。