Cookie安全属性设计：HttpOnly、Secure与SameSite

Cookie安全属性设计：HttpOnly、Secure与SameSite概览合理的 Cookie 策略能显著降低前端安全风险。本文总结核心属性与域/路径设计原则。技术参数（已验证）HttpOnly：禁止 JS 读取，降低 XSS 窃取风险。Secure：仅在 HTTPS 传输，防止明文泄露。SameSite：控制跨站携带行为，结合 CSRF 防护使用。域/路径：缩小作用域，避免无关页面访问敏感 Cookie。实战清单会话与敏感标识启用 `HttpOnly+Secure`，并合理设置 `SameSite`。精准设置域与路径，避免过宽的共享范围。