用六项检查清单审计 Cookie 配置

前言

一份可操作的清单，逐一检查应用中的 Set-Cookie：作用范围、存活时间、前缀与跨站行为。文章还附了一段能在 CI 中标记风险 Cookie 的小脚本。

现场笔记

在处理 Cybersecurity 问题的过程中，反复出现的几个模式：

• 简单的版本撑过了每次重构，聪明的版本没有。
• 边做边写的文档，比事后补写的耐用得多。
• 同一个问题第二次出现时，它就已经是一个模式了——给它起个名字。

可以直接抄的检查清单

• 问题可以用一条命令复现。
• 修复附带一个没有它就会失败的测试。
• 作者本人之外的人也在自己的机器上跑过。

写在最后

写下未来那个自己真正会读的短版本——这就是全部的诀窍。