Flask Cookie 与 Session：浏览器状态的安全边界

Cookie 适合保存小型客户端状态；Session 适合关联服务器端会话或签名数据。两者都不应用来保存明文密码、长期令牌或授权结论。

response.set_cookie(
    "session_id", value=session_id, httponly=True,
    secure=True, samesite="Lax"
)

生产环境需要 HTTPS、合理过期时间、登出失效和 CSRF 防护策略。HttpOnly 防止 JavaScript 读取 Cookie，但不能替代输入校验或服务端授权。