10个开发者必须了解的 Cookie 知识点

Web 最古老的状态管理机制 Cookie，至今很多人还在踩坑！
复制

Cookie 从 Web 出现那天就诞生了，到今天依然是前后端协作绕不开的东西。

但问题是：很多开发者对 Cookie 的工作机制没搞清楚，用法也不规范，结果就是 —— 登录状态丢失、安全漏洞、用户体验差，甚至合规违规。

本文总结了 10 条最关键、最容易踩坑的 Cookie 使用要点，配上实际开发建议，一次性帮你查漏补缺。

1. 所有请求都会自动带上 Cookie浏览器会自动把 Cookie 附加到发往同一域的每个请求里（包括接口、图片、CSS、JS等）。

建议：

• Cookie 不应该塞太多内容，否则每个请求都变大，影响性能。
• 只放必要的信息，比如 session_id，别放 JSON 字符串、token 列表等大数据。

2. Cookie 最大 4KB，超过就被截断或忽略主流浏览器对单个 Cookie 大小限制是 4096 字节（含 name、value 和其他属性）。

建议：

• 不要用 Cookie 存 JWT 或大对象。
• 如果数据超过 4KB，放到localStorage、sessionStorage或IndexedDB更合适。

3. 设置HttpOnly防止 XSS 窃取 Cookie开启HttpOnly后，JavaScript 无法通过document.cookie读取该 Cookie，即使存在 XSS 漏洞。

建议：

• 登录态、session ID、token 等敏感信息必须放到HttpOnly的 Cookie 里。
• 不要将敏感数据暴露给前端 JS。

4. 设置Secure确保 Cookie 只通过 HTTPS 传输带有Secure标记的 Cookie 只会在 HTTPS 请求中发送。HTTP 请求不会带。

建议：

• 所有认证相关 Cookie 一律加上Secure。
• 你的站点应该强制使用 HTTPS，别再用 HTTP 开发调试。

5. 使用SameSite属性防止 CSRF 攻击

SameSite控制跨站请求时是否发送 Cookie，是防止 CSRF 的关键机制。

三个值：

• Strict：最安全，只有同站点请求才带 Cookie
• Lax：常用默认值，部分 GET 请求会带 Cookie
• None：允许跨域，但必须配合Secure

建议：

• 认证 Cookie 至少设置SameSite=Lax。
• 跨域场景（如主站+子站）用SameSite=None; Secure。

6. Cookie 会在子域名间共享（如果你没限制）给.example.com设置的 Cookie，app.example.com、api.example.com都能访问。

建议：

• 只对需要用到的子域设置 Cookie，比如只给app.example.com设置登录态。
• 避免跨子域 Cookie 泄露，防止不相关子域误用。

7. Cookie 过期时间影响是否“持久”

• 没有设置Expires或Max-Age的 Cookie 是“会话 Cookie”，关掉浏览器就没了。
• 设置了就是“持久 Cookie”，会保留到指定时间。

建议：

• “记住我”这种功能必须设置过期时间。
• 临时状态信息可以用会话 Cookie。

8. 第三方 Cookie 快没用了主流浏览器（Chrome/Safari/Firefox）都在限制第三方 Cookie，跨站登录、广告跟踪都受到影响。

建议：

• 不要依赖第三方 Cookie 做认证或追踪。
• 改用服务端会话机制、一方存储或 token 方案。

9. 在欧盟地区，特殊情况

在欧盟地区，必须征得用户同意才能设置非必要 Cookie 。GDPR 和 ePrivacy 法规要求，设置追踪类 Cookie 必须用户明确同意。

建议：

• 实现清晰的 Cookie 通知和分类同意弹窗。
• 区分“必要”和“非必要”Cookie，非必要的要等用户同意后才设置。

10. 删除 Cookie 的方法是设置一个“已过期”的值Cookie 没法直接delete，只能通过设置Expires=过去时间来使它失效。

示例代码：

document.cookie = "token=; expires=Thu, 01 Jan 1970 00:00:00 GMT; path=/;";
复制

注意：

• 删除 Cookie 时的path和domain必须和设置时一样，否则删除不成功。
• 很多人以为删了，其实还在。

总结一句话：用好 Cookie，你的系统更稳定；用不好，你是在埋雷

Cookie 不复杂，但规则很多。用好了能帮你管理用户会话和个性化配置。

开发者操作检查清单：

• Cookie 是否够小？
• 是否设置了HttpOnly和Secure？
• 是否配置了SameSite？
• 是否真的需要持久化？
• 非必要 Cookie 是否获得了用户同意？

如果这篇文章对你有帮助，记得转发给团队里的后端/前端/安全工程师一起看，很多坑一个人踩不如大家一起避。

来源：微信公众号 · 芝士