Как Cookies появляются у клиента

Cookies создаются сервером и отправляются клиенту через HTTP-заголовок Set-Cookie в ответе. Клиент (браузер) автоматически сохраняет их и отправляет обратно в заголовке Cookie при последующих запросах.

Пример создания куки сервером (Node.js):

res.setHeader('Set-Cookie', 'sessionId=abc123; Max-Age=3600; HttpOnly');

Основные параметры:

• Name=Value - обязательная пара
• Expires/Max-Age - срок жизни
• Domain/Path - область действия
• Secure - только по HTTPS
• HttpOnly - недоступно для JavaScript
• SameSite - защита от CSRF

Клиент может получить куки через document.cookie, но только если не установлен флаг HttpOnly.