什么是 Cookie：Web 网站用来记住你的核心机制

接好运鸭

摘要：HTTP 协议本身是无状态协议，服务器不会记住每一位访问用户。Cookie 作为浏览器存储小段文本的标准机制，解决了会话保持、登录状态、用户偏好记忆等 Web 基础能力。本文讲解 Cookie 完整工作流程、核心属性、安全配置，区分第一方 Cookie 与第三方 Cookie，解读跨站追踪带来的隐私争议，同时给出普通用户与开发人员的实践建议。

我们登录电商网站，刷新页面依然保持登录状态；网站记住你的语言主题、未登录状态下保存购物车；访问不同网站看到相似的个性化广告，这些现象背后，都离不开 Cookie。它只是浏览器中一段小型文本数据，却是现代网页交互的基石，同时也是互联网隐私争议的焦点。

一、HTTP 无状态：服务器天生 “记不住人”

HTTP 协议的核心特性是无状态。浏览器每发起一次请求，服务器返回页面之后，连接就结束了。在协议原始设计里，服务器不会保存用户的任何访问痕迹，每一次请求对于服务器而言，都像是全新访客。
如果没有 Cookie，每次刷新页面、跳转新页面，都需要重新输入账号密码，购物车、个性化设置全部无法留存。Cookie 就是用来给无状态 HTTP “增加记忆” 的解决方案。

二、Cookie 完整工作原理

可以把 Cookie 理解成网站发给浏览器的一张临时通行证。

• 用户提交账号密码完成登录，服务器校验身份通过；
• 服务器通过 HTTP 响应头Set‑Cookie指令，下发一串随机会话标识（SessionId）给浏览器；
• 浏览器将这串标识保存为 Cookie；
• 后续访问该网站任意页面时，浏览器会自动在请求头带上这份 Cookie；
• 服务器读取 Cookie 中的 SessionId，在服务端数据库查询，识别当前是哪一位登录用户，判断会话是否有效。
  

重要：Cookie 一般不会直接保存账号密码。Cookie 存放的是会话令牌，真实用户信息保存在服务端，Cookie 仅相当于钥匙。

Cookie 存储内容不止登录令牌，还可以保存语言选择、界面主题、地区、未登录购物车、浏览标记、统计标识等配置，实现跨页面记忆用户偏好。

技术限制：单个 Cookie 最大约 4KB，单域名下可存储 Cookie 数量有限，适合存放简短标识，不适合存放大量业务数据。

三、Cookie 核心属性，控制生命周期与安全范围

每一条 Cookie 都附带属性，决定它属于哪个网站、什么时候过期、怎样传输，直接影响功能与安全。

• Domain（域名）限定该 Cookie 归属于哪些域名。例如example.com设置的 Cookie，仅会在访问该域名时携带，限制 Cookie 的作用站点范围。
• Path（路径）限定 Cookie 在网站哪些 URL 路径生效。例如Path=/admin，仅访问/admin及子路径时才会带上这条 Cookie。
• Expires / Max‑Age（过期时间）
  

• 会话 Cookie：不设置过期时间，保存在内存，关闭浏览器窗口后自动销毁，多用于临时登录会话。
• 持久 Cookie：配置Expires（绝对时间）或Max‑Age（相对秒数），写入本地磁盘，可以保留数天、数月，实现长期记住登录状态。
  

• HttpOnly 安全属性开启后，网页 JavaScript 脚本无法读取该 Cookie。主要用于防御 XSS 跨站脚本攻击，即便页面被注入恶意 JS，攻击者也无法窃取登录会话 Cookie。登录会话 Cookie 强烈建议开启。
• Secure 属性Cookie 仅能在 HTTPS 加密连接下发送，普通 HTTP 明文请求不会携带，防止在公共网络传输过程被抓包窃取。
• SameSite 属性控制跨站请求场景下是否携带 Cookie，用来防御 CSRF 跨站请求伪造攻击，存在三个取值：
  

• Strict：完全禁止跨站携带 Cookie；
• Lax（现代浏览器默认）：允许部分跳转场景携带，AJAX、表单跨站 POST 不携带；
• None：允许跨站发送 Cookie，必须搭配 Secure 同时开启。
  

四、第一方 Cookie 与第三方 Cookie，隐私争议的根源

第一方 Cookie

就是你当前正在访问的网站自己种下的 Cookie。比如视频网站用 Cookie 记住你的登录账号、播放进度、界面语言，是网站正常运行的必要条件。维持登录、购物车、基础设置大多依赖第一方 Cookie。
第三方 Cookie

页面嵌入外部广告、统计脚本、社交组件，这些来自其他域名的代码，会写入属于自身域名的 Cookie，即第三方 Cookie。
举个典型场景：你访问新闻网站 A，页面嵌入广告平台脚本；之后访问购物网站 B，同样嵌入该广告平台脚本。广告平台依靠第三方 Cookie，可以识别同一个浏览器先后访问过 A 和 B，收集浏览记录、点击行为，构建用户兴趣画像，以此投放个性化广告。我们经常遇到 “刚浏览某商品，其他网站就推送同款广告”，第三方 Cookie 就是重要实现手段之一。

Cookie 本身只是中立技术，第一方 Cookie 大多服务于网站基础功能；第三方 Cookie 带来跨站点追踪，由此产生隐私风险：用户往往不清楚哪些机构收集自己浏览行为、数据如何存储、是否对外共享。

基于合规法规（GDPR、国内个人信息保护相关规范），现在大量网站弹出 Cookie 授权弹窗：

• 必要 Cookie：维持登录、购物车、安全校验，保障网站基础运行，一般不需要用户许可；
• 非必要 Cookie：广告追踪、行为统计，需要获取用户明确同意才可以启用。
  

现实中不少网站弹窗设计复杂，拒绝选项隐蔽，用户很难真正做到可控选择。主流浏览器也开始限制第三方 Cookie，Chrome 推进隐私沙盒，尝试用聚合统计方案替代跨站 Cookie 追踪，在兼顾广告商业模式的同时，减少对个体用户的追踪。

五、普通用户如何管理 Cookie，保护个人隐私

• 优先使用 HTTPS 网站，公共 Wi‑Fi 环境尽量不要登录敏感账号；
• Cookie 授权弹窗中，优先选择「仅接受必要 Cookie」，拒绝广告追踪类非必要选项；
• 定期清理浏览器 Cookie 缓存，清理后会退出大部分网站登录；
• 在浏览器设置开启阻止第三方 Cookie；
• 使用无痕模式浏览敏感站点。
  

⚠️注意：无痕模式不等于完全匿名。无痕模式只会不在本地磁盘保存 Cookie、浏览历史记录；网站、运营商依然可以获取你的访问行为，不能规避网络层面追踪。无痕模式下所有 Cookie 仅保存在内存，关闭窗口全部清除。

六、Web 开发 Cookie 最佳实践

• 登录会话 Cookie 务必开启HttpOnly+Secure，合理配置SameSite；
• 缩小Domain与Path的作用范围，避免 Cookie 过度暴露；
• 会话令牌设置合理过期时长，避免永久有效的登录 Cookie；
• 区分必要 Cookie 和追踪 Cookie，遵守隐私合规，给用户提供拒绝非必要 Cookie 的选项。
  

总结

Cookie 给无状态的 HTTP 赋予记忆能力，是网页登录、偏好设置、购物车等功能的底层基础。

• 第一方 Cookie 服务当前网站业务，带来便捷的 Web 体验；
• 第三方 Cookie 实现跨站行为追踪，同时带来隐私泄露风险。
  

Cookie 本身没有好坏，关键看用途。理解 Cookie，不是对网页技术产生恐惧，而是明白网站如何识别你，掌握属于自己的隐私选择。