Set-Cookie 看什么
Set-Cookie 是登录与状态变更最集中的响应头，抓包判读主要看三件事：属性的完整性、下发的频次，以及与请求侧 Cookie 头的对应关系。属性方面关注 Domain 与 Path 的生效范围、Secure 是否要求加密传输、HttpOnly 是否禁止脚本读取、SameSite 的跨站携带策略；频次方面关注同一响应是否重复下发同名 Cookie，以及登录接口是否在会话建立前后各下发一次。明文 HTTP 下这些字段直接可读，HTTPS 场景需要解密后才能查看内容。
基本信息
| 协议依据 | RFC 6265（Cookie 机制） |
|---|---|
| 抓包字段 | http.set_cookie，请求侧对应 http.cookie |
| 关注属性 | Domain、Path、Secure、HttpOnly、SameSite |
| 敏感等级 | 会话类 Cookie 属敏感数据，属凭据范畴 |
| 加密场景 | HTTPS 下需解密后才能读取字段 |
典型使用场景
- 登录流程核对：确认会话建立时下发了哪些 Cookie、安全属性是否齐全
- 安全合规检查：缺少 Secure 或 HttpOnly 会带来可被利用的实际风险
- 重复下发分析：同名 Cookie 多次下发时确认客户端最终保留哪一个
- 跨站策略核查：SameSite 设置直接影响第三方场景下的携带行为
- 会话失效分析：对比登出流程是否下发了过期指令
过滤与属性
过滤与属性
http.set_cookie contains "session" # 定位会话类 Cookie
http.set_cookie contains "SameSite" # 检查跨站策略属性
http.cookie contains "SID" # 请求侧是否携带
# 属性形态：Path=/; Secure; HttpOnly; SameSite=Lax属性判读
| 属性 | 作用 | 缺失后果 |
|---|---|---|
| Secure | 仅允许经加密连接发送 | 用户被引到明文 HTTP 时该 Cookie 可能被明文发出 |
| HttpOnly | 禁止脚本读取 | 页面被注入脚本时可直接窃取会话 |
| SameSite | 控制跨站请求是否携带 | 策略差异会造成跨站失效或安全面扩大 |
| Domain 与 Path | 限定生效范围 | 范围过宽会扩大凭据暴露面 |
会话 Cookie 属于敏感数据，写进工单或报告之前要打码；抓包文件对外提供时的处理方式参见脱敏相关条目。
同名 Cookie 重复下发时，客户端是否覆盖与 Path 匹配有关；排查登录态异常要把下发顺序与 Path 属性一起看，只比对值容易漏掉关键信息。