下发示例
下发示例
# 应用侧设置（示例）
Set-Cookie: session=abc; HttpOnly; Secure; SameSite=Lax; Path=/
# 需要跨站携带时（谨慎评估后使用）
Set-Cookie: session=abc; HttpOnly; Secure; SameSite=None取值与行为
| 取值 | 跨站发送行为 | 适用场景 |
|---|---|---|
| Strict | 跨站请求一律不发送 | 高敏感管理后台 |
| Lax | 顶层导航 GET 发送，其余不发 | 通用站点默认 |
| None | 总是发送（需 Secure） | iframe 嵌入、跨站单点登录 |
把后台从 Lax 改为 Strict 可进一步收窄跨站面，但要回归测试从邮件或外部链接进入的流程。