GUIDE深度 · Deep dive
Cookie 的 HttpOnly/Secure/SameSite
HttpOnly 让 JS 读不到 cookie，降低 XSS 窃取会话的风险；Secure 只通过 HTTPS 发送；SameSite 控制跨站请求是否带 cookie，Lax 是常用默认。
三个标记
HttpOnly：document.cookie 读不到。
Secure：仅 HTTPS。
SameSite=Lax/Strict/None；None 必须配 Secure。
检查
会话 cookie 至少 HttpOnly+Secure。
不要给所有 cookie 设 SameSite=None。
常见问题
HttpOnly 能防 XSS 吗？
只能防读 cookie，不能防 XSS 本身。
SameSite=None 什么时候用？
跨站嵌入/支付回调等需要，且必须 Secure。