Secure Cookie Attributes
安全 Cookie 屬性
安全 Cookie 屬性會限制 Cookie 如何傳送，以及指令碼能否讀取。它也會限制跨站傳送時機、可接收的主機和路徑，以及保存期限。
另一個例子
回應會設定 `__Host-session`，包含 `Secure; HttpOnly; SameSite=Lax; Path=/`，而且沒有 `Domain`，登入後還會換發。第三方付款返回時，會使用另一個範圍很小的關聯 Cookie，不會降低所有工作階段 Cookie 的安全性。登出時也會結束伺服器端工作階段。
主要部分
- 01名稱前綴與值
- 02傳輸／Script／Site 限制
- 03範圍與存續時間
什麼時候用
Cookie 應使用足夠但最小的範圍和期限。工作階段 Cookie 通常要加上 `Secure`、`HttpOnly`、明確選擇的 `SameSite` 模式，並優先使用主機前綴。
什麼時候不要用
`Path` 不是安全邊界。不要無故設定很廣的 `Domain`、把持有者機密放在指令碼可讀的 Cookie，也不要使用沒有 `Secure` 的 `SameSite=None`。
程式裡的名稱
Set-Cookie: __Host-name=…; Secure; HttpOnly; SameSite=Lax/Strict; Path=/; Max-Age=… 上線前要檢查
檢查介面約定、任何情況都不能破壞的規則、授權與輸入限制。測試重試、重複執行只生效一次、逾時與部分失敗。驗證資料完整性、相容性、監控、復原與回復上一版。
預期成果：為這套系統設計或檢查 安全 Cookie 屬性 (Secure Cookie Attributes)，並讓資料保持正確、安全且容易維護。 使用者情境：回應會設定 `__Host-session`，包含 `Secure; HttpOnly; SameSite=Lax; Path=/`，而且沒有 `Domain`，登入後還會換發。第三方付款返回時，會使用另一個範圍很小的關聯 Cookie，不會降低所有工作階段 Cookie 的安全性。登出時也會結束伺服器端工作階段。 技術概念或控制措施：安全 Cookie 屬性 (Secure Cookie Attributes)。 適用理由：Cookie 應使用足夠但最小的範圍和期限。工作階段 Cookie 通常要加上 `Secure`、`HttpOnly`、明確選擇的 `SameSite` 模式，並優先使用主機前綴。 不應使用的情況：`Path` 不是安全邊界。不要無故設定很廣的 `Domain`、把持有者機密放在指令碼可讀的 Cookie，也不要使用沒有 `Secure` 的 `SameSite=None`。 工程要求：定義輸入、輸出、介面約定，以及任何情況都不能破壞的規則。說明授權與輸入檢查範圍。定義失敗、逾時、重試和重複執行只生效一次的規則。也要定義資料搬移與相容限制。 營運要求：加入監控訊號與隱藏敏感資料的記錄。設定容量上限並寫好操作手冊。測試復原與回復上一版的流程。 驗收條件：介面約定與失敗路徑測試通過。重試或部分失敗時，資料與授權規則仍正確。效能上限、監控、復原與回復上一版的方法都已驗證。 證據與限制（證據邊界）：正式文件仍可能是草案、候選版或最終版。請查看文件狀態，也要確認瀏覽器或平台是否支援。 待確認：程式執行環境、資料位置、流量形態、資料一致需求和安全邊界。也要確認相容期間、服務目標（SLO）與回復上一版的限制。
檢查這份需求
請 AI 程式助手檢查目前如何使用 安全 Cookie 屬性 (Secure Cookie Attributes)。 定義：安全 Cookie 屬性會限制 Cookie 如何傳送，以及指令碼能否讀取。它也會限制跨站傳送時機、可接收的主機和路徑，以及保存期限。 正式環境檢查：檢查介面約定、任何情況都不能破壞的規則、授權與輸入限制。測試重試、重複執行只生效一次、逾時與部分失敗。驗證資料完整性、相容性、監控、復原與回復上一版。 修改程式前，先列出看到的證據、缺口、嚴重程度，以及最小且安全的修正。