## ADDED Requirements

### Requirement: Local HTTP session cookie recovery
系统在 `xyw.auth.cookie-secure=false` 时，登录成功后 MUST 签发不带 `Secure` 属性的 `XYW_SESSION` HttpOnly Cookie，使浏览器能够在同一 `localhost` HTTP 站点的后续受保护请求中发送该 Cookie。

#### Scenario: Login over local HTTP
- **WHEN** 启用本地 HTTP Cookie 配置的有效用户完成登录
- **THEN** 响应 MUST 包含带有 `HttpOnly`、`Path=/` 和 `SameSite=Lax`、且不带 `Secure` 的 `XYW_SESSION` Cookie

### Requirement: HTTPS session cookie protection
系统在 `xyw.auth.cookie-secure=true` 时，登录成功后 MUST 签发带 `Secure` 属性的 `XYW_SESSION` HttpOnly Cookie。

#### Scenario: Login for HTTPS deployment
- **WHEN** 启用 HTTPS Cookie 配置的有效用户完成登录
- **THEN** 响应 MUST 包含带 `Secure`、`HttpOnly`、`Path=/` 和 `SameSite=Lax` 的 `XYW_SESSION` Cookie

### Requirement: Safe authentication recovery diagnostics
系统 MUST 在令牌恢复失败时清空认证上下文并保持既有的 401 响应边界，同时在服务端记录不含敏感认证数据的失败类别。

#### Scenario: Invalid session token
- **WHEN** 受保护请求携带无法解析的 `XYW_SESSION` Cookie
- **THEN** 系统 MUST 不建立认证身份、MUST 返回既有 401 响应，并记录不含 Cookie 值、JWT、密码或密钥的令牌解析失败类别

#### Scenario: Valid session token
- **WHEN** 受保护请求携带有效且对应活动账号、认证版本一致的 `XYW_SESSION` Cookie
- **THEN** 系统 MUST 建立当前认证身份并允许请求继续进入受保护的控制器
