基于 Cookie 的会话设计要点

会话 Cookie 的最低配置：

• HttpOnly：禁止脚本读取
• Secure：仅 HTTPS 传输
• SameSite=Lax：阻断大部分 CSRF
• 服务端保存会话，客户端只持有随机令牌

不要把用户信息直接编码进 Cookie。