Cookie是服务器发送至浏览器并自动携带回服务器的小段数据，用于维持登录状态等场景；通过document.cookie读取、设置及删除，需注意解析字符串、设置过期时间与路径，并遵循Secure、HttpOnly、SameSite等安全策略，避免敏感信息泄露，现代虽多用token，但理解Cookie机制仍对掌握认证流程至关重要。
在Web开发中，保持用户状态是一项基本需求。Cookie作为浏览器提供的本地存储机制之一，常用于身份认证、偏好设置等场景。虽然现代应用更多使用localStorage或token管理状态，但理解Cookie的使用依然是前端开发者的重要技能。
什么是Cookie？
Cookie是由服务器发送到用户浏览器的一小段文本数据，浏览器会将其保存并在后续请求中自动携带（同域下）。它最常用于维持登录状态，比如用户登录后，服务端返回Set-Cookie响应头，之后每次请求都会带上这个Cookie，服务端据此识别用户身份。
Cookie的特点包括：
JavaScript如何读取Cookie
浏览器通过document.cookie提供对Cookie的访问接口。需要注意的是，这个属性不是普通字符串变量，而是一个特殊的访问器——读取时返回所有可用Cookie的字符串，格式为key1=value1; key2=value2。
立即学习“Java免费学习笔记（深入）”；
要提取指定名称的Cookie值，需要手动解析：
function getCookie(name) {
const value = "; " + document.cookie;
const parts = value.split("; " + name + "=");
if (parts.length === 2) return parts.pop().split(";").shift();
}
这段代码通过添加前缀避免匹配错误，再用分隔方式提取目标值。也可以使用正则表达式实现类似功能。
如何设置和删除Cookie
通过document.cookie = "key=value"可以新增或更新Cookie。注意它不会覆盖已有Cookie，而是追加或修改同名项。
设置带过期时间和路径的Cookie示例：
function setCookie(name, value, days) {
const expires = new Date();
expires.setTime(expires.getTime() + days * 24 * 60 * 60 * 1000);
document.cookie = name + "=" + value + ";expires=" + expires.toUTCString() + ";path=/";
}
删除Cookie的正确做法是将其过期时间设为过去，并确保domain和path与原设置一致：
function deleteCookie(name) {
document.cookie = name + "=;expires=Thu, 01 Jan 1970 00:00:00 GMT;path=/";
}
安全与最佳实践
直接操作Cookie存在风险，尤其涉及敏感信息时需格外小心。
- 敏感数据应避免明文存储，推荐使用HttpOnly防止JavaScript访问
- 开启Secure标志确保仅通过HTTPS传输
- 注意SameSite属性（Strict/Lax/None）以防范CSRF攻击
- 不要依赖客户端Cookie做权限判断，服务端必须验证
现代应用中，Token（如JWT）通常存入内存或localStorage，配合拦截器发送至服务端，这种方式更灵活且可控性强。
基本上就这些。掌握Cookie的基本读写和生命周期管理，有助于理解Web的身份认证流程。虽然后端框架和前端库已封装了大部分细节，但在调试或定制逻辑时，这些知识依然关键。不复杂但容易忽略。
