Cookie 前缀：__Host- 与 __Secure- 安全约束

## 概述 `__Secure-` 要求设置在安全上下文且携带 `Secure`；`__Host-` 额外要求 `Path=/`、不含 `Domain` 并在安全上下文设定，避免子路径或子域覆盖。 ## 用法/示例 ```http Set-Cookie: __Secure-id=abc; Secure; SameSite=Lax; Path=/; Expires=Tue, 01 Jan 2030 00:00:00 GMT Set-Cookie: __Host-session=xyz; Secure; SameSite=Strict; Path=/; Expires=Tue, 01 Jan 2030 00:00:00 GMT ``` ## 工程建议 - 对会话与关键标识使用 `__Host-` 前缀并禁止 `Domain`；统一在根路径设置。 - 严格使用 `Secure` 与合理 `SameSite`；为跨站场景评估 `SameSite=None; Secure`。 - 审计遗留 Cookie 的路径与域配置，避免被更宽的 Cookie 覆盖。 ## 参考与验证 - MDN：Set-Cookie — https://developer.mozilla.org/docs/Web/HTTP/Headers/Set-Cookie - web.dev：Cookie prefixes — https://web.dev/articles/cookie-prefixes