Cookie 只是载体，会话还需要生命周期

会话通常通过随机标识关联服务端状态，Cookie 只是传递标识的一种机制。

浏览器保存一个标识并不等于完成会话管理。服务端仍需要定义会话有效期、退出失效和权限检查；Cookie 属性主要限制传输与脚本访问方式。

操作与观察

域名 example.com 仅用于说明，核查自己的网站时请替换目标地址。

Set-Cookie: session=example; HttpOnly; Secure; SameSite=Lax

在浏览器开发者工具中核对实际 Cookie 属性。

在开发者工具里分别观察设置、发送和删除过程。HttpOnly 能限制脚本读取，却不能替代跨站请求防护；Secure 也不会自动补齐其他授权检查。

浏览器不接受 Cookie 时，检查作用域同样重要。Domain、Path 与过期设置不匹配，会让 Cookie 看起来已经设置却没有随目标请求发送。开发者工具通常能提供具体拒绝原因。

别遗漏这条边界

示例值不能用于生产，会话标识需要不可预测且支持失效。

参考：HTTP 文档。