Cookie 前缀：__Host- 与 __Secure- 安全约束

---

title: Cookie 前缀：__Host- 与 __Secure- 安全约束

keywords:

• __Host-
• __Secure-
• Cookie 前缀
• Secure
• Path=/

description: 使用 __Host- 与 __Secure- 前缀为 Cookie 施加额外约束，提升路径与协议安全性，降低被降级或跨子域覆盖的风险。

categories:

• 应用软件
• 安全杀毒

---

概述

__Secure- 要求设置在安全上下文且携带 Secure；__Host- 额外要求 Path=/、不含 Domain 并在安全上下文设定，避免子路径或子域覆盖。

用法/示例

Set-Cookie: __Secure-id=abc; Secure; SameSite=Lax; Path=/; Expires=Tue, 01 Jan 2030 00:00:00 GMT
Set-Cookie: __Host-session=xyz; Secure; SameSite=Strict; Path=/; Expires=Tue, 01 Jan 2030 00:00:00 GMT

工程建议

• 对会话与关键标识使用 __Host- 前缀并禁止 Domain；统一在根路径设置。
• 严格使用 Secure 与合理 SameSite；为跨站场景评估 SameSite=None; Secure。
• 审计遗留 Cookie 的路径与域配置，避免被更宽的 Cookie 覆盖。

参考与验证

• MDN：Set-Cookie — https://developer.mozilla.org/docs/Web/HTTP/Headers/Set-Cookie
• web.dev：Cookie prefixes — https://web.dev/articles/cookie-prefixes