"Cookie 与会话安全：SameSite/HttpOnly/Secure 配置指南"

概述Cookie 是会话与偏好的核心载体，错误配置容易留出 CSRF/XSS 等攻击面。合理使用 `SameSite/HttpOnly/Secure` 并配合 CSRF Token 可显著提升安全性。关键指令与建议`SameSite`：`Strict` 仅在同站点发送，CSRF 防护最强；`Lax` 为默认且折中；跨站嵌入/第三方场景用 `None; Secure`［参考1,3,4,5］。`HttpOnly`：阻止 `document.cookie` 访问，避免脚本窃取会话标识，尤为重要［参考1,3］。`Secure`：仅在 HTTPS 下发送，避免明文传输被截获；需与 `HttpOnly` 结合［参考3］。`__Host-` 前缀：要求 `Path=/`、无 `Domain`、`Secure`，用于更严格的主机限定［参考1］。与 CSRF 的协同同时部署 CSRF Token 与 `SameSite`，覆盖跨子域与复杂导航场景；参考 OWASP 防护建议［参考4］。参考与验证［参考1］MDN 安全：安全 Cookie 配置（SameSite/Strict/Lax、HttpOnly、示例）：https://developer.mozilla.org/en-US/docs/Web/Security/Practical_implementation_guides/Cookies［参考2］技术文章：Secure/HttpOnly/SameSite 的安全含义与注意点：https://tech-blog.cymetrics.io/posts/jo/zerobased-secure-samesite-httponly/［参考3］MDN：`Set-Cookie` 指令与属性说明（默认值与跨站行为）：https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Set-Cookie［参考4］MDN 中文：HTTP Cookies 与 CSRF 防护建议（参考 OWASP）：https://s0developer0mozilla0org.icopy.site/en-US/docs/Web/HTTP/Cookies［参考5］博客园：Secure/HttpOnly/SameSite 的行为说明与默认 Lax 讨论：https://www.cnblogs.com/hellxz/p/15763306.html关键词校验关键词聚焦 Cookie 安全与 CSRF，与正文一致。