Cookie安全属性设计：HttpOnly、Secure与SameSite

# Cookie安全属性设计：HttpOnly、Secure与SameSite ## 概览 合理的 Cookie 策略能显著降低前端安全风险。本文总结核心属性与域/路径设计原则。 ## 技术参数（已验证） - HttpOnly：禁止 JS 读取，降低 XSS 窃取风险。 - Secure：仅在 HTTPS 传输，防止明文泄露。 - SameSite：控制跨站携带行为，结合 CSRF 防护使用。 - 域/路径：缩小作用域，避免无关页面访问敏感 Cookie。 ## 实战清单 - 会话与敏感标识启用 `HttpOnly+Secure`，并合理设置 `SameSite`。 - 精准设置域与路径，避免过宽的共享范围。