Cookie 前缀：__Host- 与 __Secure- 安全约束

概述

__Secure- 要求设置在安全上下文且携带 Secure；__Host- 额外要求 Path=/、不含 Domain 并在安全上下文设定，避免子路径或子域覆盖。

用法/示例

Set-Cookie: __Secure-id=abc; Secure; SameSite=Lax; Path=/; Expires=Tue, 01 Jan 2030 00:00:00 GMT
Set-Cookie: __Host-session=xyz; Secure; SameSite=Strict; Path=/; Expires=Tue, 01 Jan 2030 00:00:00 GMT

工程建议

• 对会话与关键标识使用 __Host- 前缀并禁止 Domain；统一在根路径设置。
• 严格使用 Secure 与合理 SameSite；为跨站场景评估 SameSite=None; Secure。
• 审计遗留 Cookie 的路径与域配置，避免被更宽的 Cookie 覆盖。

参考与验证

• MDN：Set-Cookie — https://developer.mozilla.org/docs/Web/HTTP/Headers/Set-Cookie
• web.dev：Cookie prefixes — https://web.dev/articles/cookie-prefixes