Cookie、Session、Token、JWT 与 CSRF

Cookie 的存储和自动发送机制。
Cookie 属性：Domain、Path、Expires/Max-Age、Secure、HttpOnly、SameSite。
Session：服务端会话状态与会话标识。
Bearer Token：通过 `Authorization` 头携带访问凭据。
JWT：令牌格式、签名验证、过期时间与撤销难点。
Cookie、Session、Bearer Token、JWT 不是互斥且同层级的概念。
CSRF 的攻击条件、典型过程与防护思路。
CORS 与 CSRF 的区别；为什么 CORS 不能替代 CSRF 防护。
认证与授权的区别，以及服务端必须独立进行权限校验。
令牌泄露、日志脱敏、会话过期与退出登录的基本要求。