Strict, вероятно, является более строгим, чем вы хотите, так как это предотвратит отправку файлов cookie при первоначальной навигации между сайтами, например, если я отправил вам по электронной почте ссылку на страницу в вашем блоге, когда вы впервые перешли по этой ссылке, файлы cookie SameSite=Strict не будут отправлены, и может показаться, что вы не вошли в систему.
SameSite=Lax здесь лучше по умолчанию. Затем я бы в явном виде посмотрел на настройку SameSite=Strict или SameSite=None для отдельных файлов cookie, где вы знаете требуемый уровень доступа.
Атрибут HttpOnly также скрывает все ваши установленные на сервере файлы cookie от читается JavaScript. У вас вполне может быть функционал на вашей странице, который требует этого.
Наконец, общий подход здесь, вероятно, излишний - так как похоже, что вы будете добавлять этот фрагмент к каждому исходящему повару ie заголовок, даже те, которые уже включают эти атрибуты. Это может вызвать непредсказуемое поведение. Я бы сделал это на определенной основе c allow-list, проверив наличие явных имен cook ie, или я бы изменил регулярное выражение, чтобы установить его, только если эти атрибуты отсутствуют.