SameSite 是 Cookie 的一个属性，用于控制 Cookie 在跨站请求中是否被发送。它的主要目的是防御 CSRF（跨站请求伪造）攻击。

在没有 SameSite 之前，浏览器会在所有请求中自动携带目标域名的 Cookie，攻击者可以利用这一点在恶意网站上伪造用户请求。SameSite 通过限制跨站 Cookie 发送，从源头减少了 CSRF 攻击面。

2020年起，Chrome 等主流浏览器将 SameSite=Lax 设为默认值，大幅提升了 Web 整体安全性。

Strict（严格）：浏览器在任何跨站请求中都不发送 Cookie，包括用户从外部链接点击进入你的网站时。这意味着用户从邮件、社交媒体等外部链接访问时，会以"未登录"状态进入，需要重新登录。

Lax（宽松）：在大部分跨站请求中不发送 Cookie，但有一个重要例外——顶级导航（top-level navigation）使用GET方法时会发送。也就是说，用户点击链接跳转到你的网站时，Cookie 会被携带，登录状态得以保持。

简单记忆：Strict = 完全禁止跨站 | Lax = 允许链接跳转，禁止其他跨站

SameSite=None 意味着 Cookie 可以在所有跨站请求中发送，这带来了安全风险。为了降低风险，浏览器厂商要求：设置 SameSite=None 的 Cookie 必须同时设置 Secure 属性，即只能在 HTTPS 加密连接中传输。

如果没有 Secure 保护，SameSite=None 的 Cookie 可能在 HTTP 明文传输中被中间人攻击窃取，结合跨站携带的特性，风险极大。Chrome、Firefox 等浏览器会拒绝设置没有 Secure 的 SameSite=None Cookie。

HttpOnly 是一个安全属性，标记后 Cookie 无法通过 JavaScript 的 document.cookie API 访问。这意味着即使网站存在 XSS（跨站脚本）漏洞，攻击者也无法通过脚本窃取该 Cookie。

为什么 JS 无法设置？ 这是浏览器的安全设计：如果允许 JS 设置 HttpOnly，恶意脚本就可以先设置一个 HttpOnly Cookie 再通过其他方式利用。因此，HttpOnly 只能通过服务端的 Set-Cookie 响应头设置。

最佳实践：会话 Cookie 务必设置 HttpOnly，配合 Secure 和 SameSite 使用。

带有 Secure 属性的 Cookie 只能在 HTTPS 加密连接中传输。如果在 HTTP 环境下通过 JS 设置 Secure Cookie：

• 部分浏览器会忽略该设置，Cookie 仍然被创建但不带 Secure 标记
• 部分浏览器会直接拒绝设置该 Cookie
• 无论如何，在 HTTP 页面中设置的 "Secure" Cookie 不会真正具备 Secure 保护

建议：始终在 HTTPS 环境下设置 Secure Cookie，以确保属性生效。

现代浏览器（Chrome 80+、Firefox 69+、Edge 86+、Safari 14+）完全支持 SameSite 属性。

旧版浏览器（如 IE、旧版 Safari）可能忽略 SameSite 属性，此时 Cookie 行为等同于 SameSite=None（所有跨站请求都携带）。这意味着旧版浏览器中的 CSRF 防护依赖其他机制（如 CSRF Token）。

建议采用双重防护策略：SameSite + CSRF Token，确保在新旧浏览器中都有安全保障。

打开 Chrome DevTools（F12）→ Application 标签 → 左侧 Cookies → 选择域名，即可查看所有 Cookie 及其属性。

在 Cookie 列表中可以看到每个 Cookie 的 SameSite、Secure、HttpOnly、Domain、Path、Expires 等完整信息。

也可在 Network 标签中查看请求的 Request Headers → Cookie 和响应的 Response Headers → Set-Cookie。

1. 始终使用 HTTPS — 为所有 Cookie 启用 Secure 属性
2. 会话 Cookie 设置 HttpOnly — 防止 XSS 窃取
3. 合理设置 SameSite — 默认 Lax，按需调整
4. 设置合理的过期时间 — 避免永久 Cookie
5. 限制 Path 和 Domain — 最小化 Cookie 暴露范围
6. 使用 __Host- 前缀 — 强制 Cookie 仅限当前主机且带 Secure
7. 敏感操作重新验证 — 不要仅依赖 Cookie 鉴权
8. 定期审计 Cookie — 清理无用和过期的 Cookie