httpCookies 的 secure 属性设为 true 却未生效，根本原因是 HTTPS 未真正启用或反向代理未透传 X-Forwarded-Proto；domain 必须带前导点（如“.example.com”）且 localhost 下必须留空；sameSite="None" 不支持直接在 web.config 配置，需代码设置或升级框架。
httpCookies 的 secure 属性设为 true 却没生效？
根本原因通常是 HTTPS 未真正启用，或者反向代理（如 Nginx、Azure Front Door）没透传 X-Forwarded-Proto。IIS 和 .NET Framework 的 httpCookies 不会主动检测请求协议，只认 Request.IsSecureConnection，而这个值依赖底层 HTTPS 环境变量或代理头。
- 本地开发时用 HTTP 调试，
secure="true"会让浏览器直接拒收 Cookie —— 不报错，但 DevTools 的 Application → Cookies 里看不到它 - 部署到 IIS 后，若前端有反向代理，必须在 web.config 的
<system.webserver><httpprotocol><customheaders></customheaders></httpprotocol></system.webserver>里加X-Forwarded-Proto透传，否则secure="true"形同虚设 - .NET Framework 4.7.2+ 支持
requireSSL="true"（在<sessionstate></sessionstate>中），但它和httpCookies@secure是两套逻辑，别混用
domain 属性填错了导致跨子域 Cookie 失效
domain 不是“填你自己的域名就行”，它必须带前导点（.example.com），且不能包含协议或端口。浏览器对 domain 匹配极其严格：当前页是 api.example.com:8080，Cookie 的 domain 设为 example.com（缺点）或 www.example.com（不匹配）都会被拒绝。
- 正确写法：
domain=".example.com"（注意开头的点），这样www.example.com、api.example.com都能读取 - 如果站点只跑在
localhost，domain必须留空（不要填localhost），否则浏览器直接丢弃 Cookie - IIS 默认不设置
domain，所以跨子域场景下必须显式配置，否则每个子域都是独立 Cookie 域
httpOnly 和 sameSite 组合使用时的兼容性陷阱
sameSite 在 web.config 里只能设为 Lax 或 Strict（.NET Framework 4.7.2+），不支持 None；而设 None 必须同时配 secure="true"，否则现代浏览器（Chrome 80+）会直接忽略该 Cookie。
-
sameSite="Lax"是安全默认值，适合大多数登录态场景，但表单 POST 跨站提交时会丢失 Cookie - 想用
sameSite="None"？不行 —— web.config 解析器会报错：“Unrecognized attribute 'sameSite'”，得改用代码方式（Response.Cookies["xxx"].SameSite = SameSiteMode.None）或升级到 .NET Core/5+ -
httpOnly="true"能防 XSS 读取 Cookie，但它和sameSite无冲突，建议始终开启，除非你真需要 JS 调用document.cookie
web.config 修改后 Cookie 没刷新？缓存和浏览器行为要一起查
web.config 变更会触发应用池回收，但旧 Cookie 不会自动失效。用户可能还拿着过期的 HttpOnly 或 secure 错误的 Cookie，导致反复出问题。
- 改完
httpCookies后，清掉浏览器所有对应域名的 Cookie（不只是删一条，是整个域）再测试 - 用 DevTools 的 Network 标签页看响应头：
Set-Cookie字段是否真的带上了Secure、HttpOnly、SameSite=Lax等属性 - 如果用了负载均衡或多实例部署，确保所有服务器的 web.config 完全一致 —— 差一个字母，
domain就可能变成无效值
最麻烦的不是配错哪一项，而是几项组合起来才暴露问题：比如 secure="true" + 反向代理没传头 + 浏览器缓存了旧 Cookie，三者叠在一起，连 Set-Cookie 响应都看不到，还以为是代码没走到那一步。
