Cookie 与会话

Cookie 适合携带小型状态，但要理解 Domain、Path、Secure、HttpOnly 和 SameSite 的边界。

核心说明

Cookie 是浏览器随请求发送的小型键值数据。它适合会话标识等场景，但容量有限，且每次匹配请求都可能带来额外传输。

关键点

• HttpOnly 可以减少脚本读取会话 Cookie 的机会，Secure 要求通过 HTTPS 发送。
• SameSite 控制跨站请求携带 Cookie 的方式，是 CSRF 防护的一部分。
• 不要把密码、长期密钥和大量业务数据直接放进 Cookie。