Set-Cookie 下发 Cookie

服务器向客户端写入 Cookie 的响应头：一条响应可带多个 Set-Cookie；属性决定作用域、生命周期与安全边界。

协议速查网络更新于 2026-10-12

名称	Set-Cookie
作用	写入客户端状态
规范	RFC 6265 §4；现代属性见 RFC 6265bis
注意	同名 Cookie 可多条下发（不同 Path/Domain）

完整示例（推荐组合）

Set-Cookie: sid=abc123; Path=/; Max-Age=86400; Secure; HttpOnly; SameSite=Lax
Set-Cookie: theme=dark; Path=/; Max-Age=31536000; SameSite=Lax

会话 Cookie 三件套缺一不可：Secure（仅 HTTPS 发送）+ HttpOnly（禁止 JS 读取）+ SameSite（限制跨站携带）；缺失时 XSS/CSRF 风险显著上升。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌