写在前面：合法学习边界

本文讲 Cookie/Session 基础，不涉及攻击。

一、Cookie 与 Session

1

Cookie（客户端）· Session（服务端）

二、安全属性

1
2
3

HttpOnly：禁止 JavaScript 读取
Secure：仅 HTTPS 传输
SameSite：防止 CSRF

三、小结

Cookie + Session 是 Web 会话管理的核心。HttpOnly + Secure + SameSite 是安全配置三要素。