| 属性 | Secure / HttpOnly / SameSite / Max-Age / 前缀（__Host-） |
|---|---|
| 检查 | 逐域名记录会话 Cookie 属性 |
| 例外 | 需 JS 读取的 Cookie 单独评估必要性 |
核查方式
核查方式
1. 登录后导出 Cookie 清单（浏览器 DevTools 或响应头）
2. 逐条记录关键属性
3. 复核子域与第三方集成场景的 Domain 范围
4. 输出：Cookie 名 + 属性现状 + 建议修复视角：会话 Cookie 默认 Secure + HttpOnly + SameSite=Lax；跨站必需场景单独评审。