Cookie 的核心属性包括：Expires/Max-Age、Path、DomAIn、Secure、HttpOnly、SameSite。其中，Expires/Max-Age 属性用来设置Cookie的过期时间。如果这两个属性都没有设置，Cookie 默认为会话期Cookie，即当浏览器关闭时该Cookie会被自动删除。具体来说，Expires属性设置一个具体的日期和时间标志Cookie到期时间；而Max-Age则是设置Cookie存在的秒数。一旦设置，无论是哪个先到期，Cookie都会在该时间删除。
一、EXPIRES/MAX-AGE
Expires/Max-Age 属性定义了cookie的生命周期。Expires指定一个确切的日期/时间，告诉浏览器何时删除cookie。Max-Age则指cookie存在多久（以秒为单位）。
- Expires：如果你想要cookie在某个指定的时间之后过期，就应该使用Expires属性。这个日期需要用格林威治时间（GMT）的格式来表示。
- Max-Age：它定义了从当前时间开始，cookie存活的秒数。当设置为0时，cookie会立即过期。
二、PATH
Path 属性定义了哪些路径在服务器上会接收到这个Cookie。只有在这个路径或者子路径下的页面才会发送这个Cookie给服务器。
- 作用范围：Path属性帮助你限定cookie的作用范围，使得只有特定的目录下的页面才可以读取cookie。
- 安全性：这有助于加强Cookie的安全性，减少因路径设置不当可能导致的跨站脚本攻击(XSS)风险。
三、DOMAIN
Domain 属性定义了哪些域名可以接受Cookie。如果没有设置该属性，Cookie会被发送到设置它的那个域名。
- 显式与隐式：可以给Domain属性设置一个显式值，比如“example.com”，这样所有以example.com结尾的域都可以接受该cookie。如果不设置，那它是隐式的，仅当前子域接受cookie。
- 共享Cookie：这个属性常用于子域之间共享Cookie，例如用户在主域名和子域名之间的认证信息。
四、SECURE
Secure 标志是表示创建的Cookie只能在加密的请求中发送给服务器。
- 加密协议：Secure属性确保Cookie只通过HTTPs等安全协议传输，从而减少中间人攻击的机会。
- 安全最佳实践：鉴于大多数网站都在向HTTPS移动，这个属性成为了设置Cookie时的一个安全最佳实践。
五、HTTPONLY
HttpOnly 属性用来限制Cookie是否能被JavaScript访问。
- 防止XSS攻击：这个属性可以提升安全性，因为即使你的网站出现了跨站脚本（XSS）漏洞，HttpOnly的Cookie也不能被不法分子利用。
- 后端操作：这意味着有HttpOnly属性的cookie只能由服务器读取，前端JavaScript代码是无法访问这些cookie的。
六、SAMESITE
SameSite 属性用来阻止跨站点的cookie传送，这能够提升用户的安全性。
- 三个值：属性可设置为三个值之一：Strict、Lax 或 None，它们分别定义了不同的跨站点发送Cookie的限制级别。
- CSRF防护：SameSite属性通过限制第三方Cookie的传送，可以有效地防止CSRF攻击。
在使用Cookie时，合理地设置这些属性对于确保Web应用程序的安全性和用户隐私至关重要。 合适地配置这些属性可以让Cookie既保持功能性，同时避免可能的安全隐患。
相关问答FAQs：
1. Cookie有哪些常见属性？
- 过期时间（expires）：指定Cookie的有效期限，过期后将自动被删除。
- 域名（domain）：指定哪些域名可以访问Cookie。
- 路径（path）：指定哪些路径可以访问Cookie。
- 安全标志（secure）：标记Cookie是否只能通过HTTPS协议传输。
- HTTPOnly标志（httponly）：指定Cookie是否仅限于通过HTTP请求访问，无法通过JavaScript访问。
- SameSite属性：该属性用于减少跨站点请求伪造攻击（CSRF）的风险。
2. Cookie的过期时间和域名属性有什么作用？
- 过期时间属性指定Cookie的有效期限，可以是一个具体的日期时间，也可以是一个相对时间（比如30分钟后过期）。当过了这个时间后，浏览器会自动删除该Cookie。
- 域名属性指定哪些域名可以访问Cookie，比如设置为".example.com"，则所有以"example.com"结尾的域名都可以访问该Cookie。这在多个子域名共享Cookie时非常有用。
3. Cookie的路径和安全标志属性有何作用？
- 路径属性指定哪些路径可以访问Cookie。比如设置为"/forum"，则只有以"/forum"开头的路径可以访问该Cookie。这对于限制Cookie的使用范围非常有用。
- 安全标志属性用于标记Cookie是否只能通过HTTPS协议传输。如果设置为true，则只有在通过HTTPS协议进行通信时，浏览器才会将该Cookie发送给服务器，这有助于保护敏感信息的安全性。
