Cookie 与 SameSite/Secure 存储安全实践

核心属性SameSite：默认 `Lax`，跨站请求限制；必要时使用 `None; Secure`。Secure：仅在 HTTPS 传输；HttpOnly：禁止前端 JS 访问。实践要点作用域：`Domain`/`Path` 精确定义；短期敏感信息缩短过期时间。CSRF 防护：配合双重提交或 token 校验；避免跨站注入。结论合理使用属性与作用域，结合后端校验，显著提升存储安全性。