1d0f227267
SameSite=Lax cookie 已防跨站 POST/DELETE, 无需额外 CSRF header 前端 JS 无法读取 HttpOnly cookie, 无法设置 X-CSRF-Token Co-Authored-By: Claude <noreply@anthropic.com>