Cookie 前缀：__Host- 与 __Secure- 安全约束

概述`__Secure-` 要求设置在安全上下文且携带 `Secure`；`__Host-` 额外要求 `Path=/`、不含 `Domain` 并在安全上下文设定，避免子路径或子域覆盖。用法/示例Set-Cookie: __Secure-id=abc; Secure; SameSite=Lax; Path=/; Expires=Tue, 01 Jan 2030 00:00:00 GMT Set-Cookie: __Host-session=xyz; Secure; SameSite=Strict; Path=/; Expires=Tue, 01 Jan 2030 00:00:00 GMT 工程建议对会话与关键标识使用 `__Host-` 前缀并禁止 `Domain`；统一在根路径设置。严格使用 `Secure` 与合理 `SameSite`；为跨站场景评估 `SameSite=None; Secure`。审计遗留 Cookie 的路径与域配置，避免被更宽的 Cookie 覆盖。参考与验证MDN：Set-Cookie — https://developer.mozilla.org/docs/Web/HTTP/Headers/Set-Cookieweb.dev：Cookie prefixes — https://web.dev/articles/cookie-prefixes