クライアント: GET /page1 → サーバー: "Page 1の内容はこちらです"
クライアント: GET /page2 → サーバー: "あなたは誰ですか？はじめまして。Page 2の内容はこちらです"

1. サーバー → クライアント（レスポンスヘッダー）
   Set-Cookie: username=Hoon; Path=/

2. クライアント → サーバー（次のリクエストのリクエストヘッダー）
   Cookie: username=Hoon

const express = require('express');
const app = express();

app.get('/login', (req, res) => {
  // Set-Cookieヘッダーを送信
  res.cookie('username', 'Hoon', {
    maxAge: 24 * 60 * 60 * 1000, // 1日（ミリ秒）
    httpOnly: true,
    secure: false,    // HTTPS経由でのみ送信（開発中はfalseに設定）
    sameSite: 'lax'
  });
  res.json({ message: 'ログインしました。クッキーを設定しました' });
});

npm install cookie-parser

const cookieParser = require('cookie-parser');
app.use(cookieParser());

app.get('/profile', (req, res) => {
  const username = req.cookies.username;
  if (!username) {
    return res.status(401).json({ error: 'ログインしていません' });
  }
  res.json({ message: `ようこそ、${username}さん` });
});

app.get('/logout', (req, res) => {
  res.clearCookie('username');
  res.json({ message: 'ログアウトしました。クッキーをクリアしました' });
});

// 悪い — クッキーはJavaScriptからアクセスできます（XSS脆弱性）
res.cookie('token', 'abc123');

// 良い — JavaScriptからアクセスできません
res.cookie('token', 'abc123', { httpOnly: true });

res.cookie('token', 'abc123', {
  httpOnly: true,
  secure: true  // HTTPS経由でのみ送信
});

res.cookie('token', 'abc123', {
  httpOnly: true,
  secure: true,
  sameSite: 'strict'  // 同じサイトからのリクエストでのみ送信
});

// ダークモードの設定 — サーバーサイドレンダリング中に適用できます
app.post('/settings/theme', (req, res) => {
  const { theme } = req.body; // 'dark'または'light'
  res.cookie('theme', theme, {
    maxAge: 365 * 24 * 60 * 60 * 1000, // 1年
    httpOnly: false,  // CSSを適用するにはJavaScriptアクセスが必要です
    sameSite: 'lax'
  });
  res.json({ theme });
});

app.get('/', (req, res) => {
  const theme = req.cookies.theme || 'light';
  res.render('index', { theme });
});

res.cookie('session_token', token, {
  httpOnly: true,       // ✓ XSS対策 — JavaScriptからのアクセスを防止
  secure: true,         // ✓ HTTPSのみ — 暗号化されていないテキストでの送信を防止
  sameSite: 'lax',      // ✓ CSRF対策 — クロスサイトPOSTリクエストをブロック
  maxAge: 3600000,      // ✓ 有効期限を設定 — 永続的なクッキーを防止
  path: '/'             // ✓ パスを制限 — 必要な範囲に制限
});