Web 会话管理在多次请求之间维持已认证主体及会话状态，并负责会话创建、更新、超时和撤销。
Cookie、Session 与令牌
Cookie 是浏览器保存及发送数据的机制，Session 是会话状态管理方式，JWT 是令牌格式，三者并非互斥替代品。服务端会话可通过不透明 Cookie ID 关联，也可在架构允许时使用经过验证的令牌。
生命周期
登录或权限提升后应按策略更新会话标识，设置空闲和绝对有效期，并提供服务端退出或撤销路径。仅清除浏览器标识不一定使被复制的凭据失效。
Web Cookie 应根据场景配置 Secure、HttpOnly 和 SameSite，同时处理 CSRF 风险。认证成功后仍需对每次资源操作检查权限；日志应避免记录完整凭据。