| Secure | 仅 HTTPS 传输 |
|---|---|
| HttpOnly | 禁止 JS 读取 |
| SameSite | Lax/Strict/None 控制跨站携带 |
nginx 改写示例
nginx 改写示例
proxy_cookie_path / "/; Secure; HttpOnly; SameSite=Lax";SameSite=None 必须同时 Secure，且要评估第三方嵌入场景。
Cookie 安全属性
为会话 Cookie 配置 Secure、HttpOnly 与 SameSite，降低被脚本读取与跨站携带的风险。
易错点
- 嵌入第三方页面使用的会话 Cookie 加 Strict 会导致登录态失效
- 只加 HttpOnly 不修 XSS，攻击者仍可通过其他方式利用会话
数据来源与参考
- RFC 6265（HTTP 状态管理机制）
- OWASP 会话管理备忘