Cookie・セッション・SameSite の基礎 - Secure / HttpOnly と CSRF・CORS の関係
約11分
Web認証の土台となる Cookie・セッション・SameSite を実務目線で整理します。Set-Cookie の属性（Expires/Max-Age・Domain/Path）、Secure と HttpOnly が防ぐ脅威、SameSite の Strict/Lax/None の違いと None に Secure が要る理由、サーバー側セッションとログイン後の ID 再生成、SameSite だけで CSRF を防ぎきれない理由、クロスオリジンで Cookie を送る CORS の条件、__Host-/__Secure- プレフィックスまで、MDN・RFC 6265bis・OWASP を一次ソースにまとめます。