Cookie安全属性说明

• HttpOnly：限制前端JS读取Cookie，能够有效防范XSS跨站脚本攻击窃取会话凭证
• SameSite：管控跨站点请求发送Cookie的行为，降低CSRF跨站请求伪造风险。Strict完全禁止跨站携带；Lax允许安全的页面跳转场景；None允许跨站传输，必须同时开启Secure
• Secure：Cookie只在HTTPS加密通道进行传输，避免明文HTTP环境下中间人抓包盗取Cookie
• Domain：定义Cookie生效域名范围，子域名能否读取该Cookie由该配置控制
• Path：限定Cookie在网站哪些URL路径下能够被浏览器携带发送
• Max-Age / Expires：设置Cookie生命周期，Max-Age以秒为单位；Expires为固定GMT过期时间，未设置则为会话Cookie，关闭浏览器即失效