会话安全：Cookie 与轮换

会话是登录态的核心，配置错了等于把账号交给别人。

Cookie 属性

HttpOnly 防止脚本读取，Secure 要求只走 HTTPS，SameSite 默认 Lax 可以挡住大部分跨站请求伪造。三者缺一不可。

轮换时机

登录成功后换发新会话，避免固定会话攻击；修改密码、变更角色、检测到异常登录时，强制失效其他会话。

超时策略

短期会话加刷新机制，比一签一年的长效 token 更安全。闲置超时要能主动清理，不能只靠客户端。

多设备

让用户能看到当前登录设备并单独登出。这既是安全功能，也是常见的客服诉求。