Cookie是服务器发送到浏览器并保存在本地的一小块数据（通常不超过4KB）。它会在浏览器下次向同一服务器发起请求时被携带并发送到服务器上。主要用途包括：会话管理（登录状态、购物车）、个性化（用户偏好设置）、追踪（用户行为分析）。Cookie按存储时长分为会话Cookie（浏览器关闭即删除）和持久Cookie（到过期时间才删除）。

Name/Value：Cookie的名称和值，值建议进行URL编码。
Domain：指定Cookie可被发送到的域名。若不设置，则默认当前域名（不含子域名）；若设置为 .example.com，则所有子域名均可访问。
Path：指定Cookie可被发送到的路径，默认为当前路径。
Expires/Max-Age：过期时间。不设置则为会话Cookie。
Secure：仅通过HTTPS传输Cookie。
HttpOnly：禁止JavaScript访问，仅通过HTTP请求发送（此属性无法通过JS设置）。
SameSite：控制跨站请求是否携带Cookie（Strict/Lax/None）。

Strict：完全禁止跨站请求携带Cookie，最严格的安全策略。即使用户从外部链接点击进入，初始请求也不会携带Cookie。
Lax（Chrome默认）：允许部分跨站请求携带Cookie，如通过<a>链接、<link>等GET导航请求，但阻止POST请求、iframe、img等跨站请求携带Cookie。
None：允许所有跨站请求携带Cookie，必须同时设置Secure属性（即仅HTTPS下可用）。适用于第三方Cookie场景。
注意：Chrome 80+开始，未设置SameSite的Cookie默认视为Lax。

删除Cookie需要设置其过期时间为过去的时间，并且Path和Domain必须与创建时完全一致，否则删除可能失败。例如：document.cookie = "name=; expires=Thu, 01 Jan 1970 00:00:00 GMT; path=/; domain=.example.com"。如果使用Cookie Store API，可直接调用cookieStore.delete({name, domain, path})，更加可靠。建议删除时尝试多个常见路径（如"/"和当前路径）。

Cookie：容量约4KB，每次HTTP请求自动携带，可设置过期时间，可指定Domain/Path/Secure/HttpOnly/SameSite，适合服务端需要读取的小数据。
LocalStorage：容量约5-10MB，不会自动发送到服务器，数据永久保存（除非手动清除），仅客户端可访问。
SessionStorage：容量约5-10MB，标签页关闭即清除，仅同源同标签页可访问。
选择建议：需要服务端读取用Cookie；纯客户端大数据用LocalStorage；临时数据用SessionStorage。

1. 始终设置Secure：生产环境中的敏感Cookie必须通过HTTPS传输。
2. 使用HttpOnly：会话标识等敏感Cookie应设置HttpOnly，防止XSS攻击窃取。
3. 合理设置SameSite：防止CSRF攻击，一般使用Lax，第三方Cookie使用None+Secure。
4. 设置合理的过期时间：避免过长有效期的敏感Cookie。
5. 限制Domain和Path：尽量缩小Cookie的作用范围。
6. Cookie前缀：使用__Secure-和__Host-前缀增加安全约束。