用途：审查服务端会话管理、配置认证中间件或审计 HTTP 响应头 Cookie 配置时，确保会话与认证 Cookie 带有安全标志。
主要能力：
- Secure：Cookie 仅通过 HTTPS 发送，绝不经明文 HTTP 传输。
- HttpOnly：Cookie 对 JavaScript 不可见，阻断 XSS 窃取会话令牌。
- SameSite=Strict 或 Lax：阻止 Cookie 随跨站请求发送，防范 CSRF；不要在不设置 Secure 且未理解 CSRF 影响的情况下使用 SameSite=None。
使用方式：检查会话与认证 Cookie 是否设置上述三个标志；若缺失则更新服务端 Cookie 配置，为所有会话与认证 Cookie 加上 Secure、HttpOnly 与 SameSite=Strict（或 Lax）。同时说明各标志的作用及其防范的具体攻击。代码审查时，逐一查看所有 Set-Cookie 响应头与 Cookie 创建代码，标记缺少 HttpOnly、缺少 Secure，或 SameSite 未指定或过于宽松的 Cookie。完整实现细节、代码示例与框架相关指引见 references/rule.md。
限制：资料未提供具体框架写法、代码示例与兼容性说明，需查阅规则页获取。