用户登录态横跨多个子域和多台设备时，如何设计安全的会话创建、续期与撤销

# 核心结论

安全会话设计应把浏览器中保存的会话标识视为可被窃取和重放的承载凭证，并通过最小作用域、标识轮换、分层有效期、服务端状态校验和可审计撤销来限制损失。登录成功、权限提升和高风险操作前后都应重新评估会话，而不是签发一个长期不变的标识后只等待自然过期。多个子域默认不应共享同一高权限会话；共享范围越大，任一低安全子域被控制后造成的影响越大。

浏览器会话 Cookie 应使用高熵随机值，并设置 Secure、HttpOnly 和符合业务的 SameSite。优先使用不带 Domain 的主机专用 Cookie，同时采用 __Host- 前缀时还需满足 Path=/ 且不得设置 `Domai