通过本地银行与恶意网站实验，理解攻击者如何让浏览器自动带上登录 Cookie 执行敏感操作。

浏览器基于域名、路径和Cookie标记决定是否自动携带 Cookie，Session管理核心仍需依赖服务端。安全配置需组合使用Secure（强制HTTPS）、HttpOnly（阻止JS窃取）和SameSite（默认Lax即同源携带，跨源不跟随），其中SameSite=S glBegin不能替代CSRF Token。推荐使用__Host前缀配置，需同时满足Secure+Path=/+无Domain设置，这种模式兼具跨子域名限制和同源容错优势。与localStorage相比，Cookie虽能通过HttpOnly防御XSS直接读取，却仍需配合其他机制防范CSRF和漏洞利用。常见陷阱包括误认为HttpOnly可禁用Cookie发送、SameSite=Lax可替代认证Token、Path即可实现权限隔离，正确配置需严格遵循安全原则与服务端权限验证结合。