SameSite
SameSite 是浏览器 cookie 的一个安全属性，用于控制跨站请求时是否发送 cookie，从而防御 CSRF 攻击。可选值包括 Strict、Lax、None。
时间轴 (近 90 天)
配合 HttpOnly、Secure、SameSite 等 Cookie 属性，可进一步降低令牌被 XSS 窃取或跨站泄露的风险。
会话令牌通常以Cookie中的Session ID或JWT形式存在，后续请求凭此识别身份。若Cookie未设置HttpOnly，XSS脚本可直接读取；若未设置Secure，令牌可能经明文HTTP泄露；若未设置SameSite，则易受CSRF攻击。
SameSite=Lax 允许顶级导航的 GET 请求携带 cookie，是当前多数浏览器的默认值。
SameSite 属性无法防御子域被攻陷、同站内 XSS 发起的请求，也依赖浏览器正确实现，因此不能替代双提交 cookie 或同步器 token 模式。
Lax 是当前浏览器对 SameSite 的默认值，允许顶级导航的 GET 请求携带 cookie，但 POST 等跨站子请求不带。
SameSite=None 要求同时设置 Secure，允许跨站发送 cookie。
SameSite 属性是浏览器用于防御 CSRF 的 cookie 控制字段，取值主要有 Strict、Lax、None 三种。
全部知识事实 (7)
配合 HttpOnly、Secure、SameSite 等 Cookie 属性，可进一步降低令牌被 XSS 窃取或跨站泄露的风险。
50%待验证会话令牌通常以Cookie中的Session ID或JWT形式存在，后续请求凭此识别身份。若Cookie未设置HttpOnly，XSS脚本可直接读取；若未设置Secure，令牌可能经明文HTTP泄露；若未设置SameSite，则易受CSRF攻击。
50%待验证SameSite=Lax 允许顶级导航的 GET 请求携带 cookie，是当前多数浏览器的默认值。
50%待验证SameSite 属性无法防御子域被攻陷、同站内 XSS 发起的请求，也依赖浏览器正确实现，因此不能替代双提交 cookie 或同步器 token 模式。
50%待验证Lax 是当前浏览器对 SameSite 的默认值，允许顶级导航的 GET 请求携带 cookie，但 POST 等跨站子请求不带。
50%待验证SameSite=None 要求同时设置 Secure，允许跨站发送 cookie。
50%待验证SameSite 属性是浏览器用于防御 CSRF 的 cookie 控制字段，取值主要有 Strict、Lax、None 三种。
50%