粘贴 Set-Cookie，检查标志
把一行或多行 Set-Cookie 响应头粘到下面，工具在浏览器本地解析 Secure、HttpOnly、SameSite、持久化与 __Host-/__Secure- 前缀，并标出会话 Cookie 缺 HttpOnly、SameSite=None 缺 Secure 等问题。不联网、不上传，Cookie 的值在解析时立即丢弃。
尚未检查。
内置自检运行中…
统计口径
| 指标 | 定义 | 边界 |
|---|---|---|
| Cookie | 每个非空行，去掉可选的 Set-Cookie: 前缀 | 只解析字符串，不发送请求 |
| Secure / HttpOnly | 属性出现即计 | 不判断浏览器是否实际拦截 |
| SameSite | 记录 Lax/Strict/None；未声明单列 | 未声明时浏览器默认 Lax |
| 持久化 | 出现 Max-Age 或 Expires | 会话 Cookie 不计 |
| 前缀 | 名称以 __Host- 或 __Secure- 开头 | 不校验前缀约束是否满足 |
| 警告 | 缺 Secure / 会话缺 HttpOnly / None 缺 Secure | 提示，不是漏洞结论 |
工具只做字符串解析：它不会判断 Cookie 是否被脚本读取、是否用于跟踪，也不验证服务端是否真的使用了这些标志。与 Python 探针 scripts/cookie_flag_probe.py 使用同一口径；Node 断言在 scripts/test_cookie_check.js，共 13 项，运行 node scripts/test_cookie_check.js。
隐私：解析在本页完成，没有网络请求；导出的 CSV 只含名称与标志，不含 Cookie 值。带 #sample 打开页面会自动填入示例，便于对照。
配套：首页 Cookie 标志审计（10 站 20 个 Cookie 的实测）、首页脚本卫生审计、首页隐私入口与分析脚本。
常见问题
工具会把 Cookie 上传吗？
不会。解析全部在浏览器里完成，没有网络请求；Cookie 的值在解析时立即丢弃，页面与导出的 CSV 只有名称与标志。
没有 SameSite 就是缺陷吗？
不一定。Chrome、Edge 等现代浏览器对未声明的 Cookie 默认按 Lax 处理；工具把“未声明”单列，方便区分默认值与显式策略。
为什么 Secure 单独高亮？
站点在 HTTPS 上时，缺 Secure 的 Cookie 仍可能随明文请求发送，是成本最低的一处修复。
会话 Cookie 怎么识别？
按名称关键词（sess、session、token、JSESSIONID、PHPSESSID、ASP.NET_SessionId）判断；只用于提示，不是安全结论。
支持多行吗？
支持一行一个 Set-Cookie；可以带或不带 Set-Cookie: 前缀。空行会被忽略。