Cookie 混乱：如何绕过 Host 和 Secure Cookie 前缀

摘要

研究者利用 Unicode 空白字符（U+2000）绕过 __Host-/__Secure- Cookie 前缀保护：浏览器视为普通 Cookie，Django、ASP.NET 等服务器却将其归一化为受保护名称，可被用于 Cookie 投毒。