Как работают cookies? Что такое флаги HttpOnly, SameSite? Как ограничить куки определённым путём?

Cookies — это небольшие данные, которые веб-сервер отправляет браузеру и которые браузер хранит и отправляет обратно при последующих запросах к тому же серверу.

• HttpOnly — флаг, который запрещает доступ к cookie через JavaScript (например, через document.cookie), что повышает безопасность, предотвращая XSS-атаки.
• SameSite — ограничивает отправку cookie только в определённых сценариях:
  • Strict — cookie отправляется только при запросах с того же сайта.
  • Lax — cookie отправляется при навигации по ссылкам, но не при кросс-сайтовых запросах.
  • None — cookie отправляется всегда, но требует Secure-флага (только по HTTPS).

Чтобы ограничить cookie определённым путём, используется атрибут Path. Например:

Set-Cookie: sessionId=abc123; Path=/app;

Это значит, что cookie будет отправляться браузером только при запросах к URL, начинающимся с /app.