无需登录 数据私有 本地保存

Cookie 安全属性配置器 - 快速生成Set-Cookie头

12
0
0
0
快速模板
Cookie 属性配置
请输入有效的Cookie名称
请输入Cookie值
设置后包含子域名；留空仅当前域名
默认"/"表示全站可用
秒
仅通过HTTPS传输
禁止JavaScript访问
CHIPS分区存储
控制跨站请求是否携带Cookie
Cookie溢出时保留优先级
生成的 Set-Cookie 头
已复制！
安全评估
4.0
安全等级：良好
属性速查
Secure仅通过HTTPS发送Cookie
HttpOnly阻止JavaScript document.cookie访问
SameSite=Strict仅同站请求携带，最严格
SameSite=Lax允许顶级导航携带（推荐）
SameSite=None跨站请求携带（需配合Secure）
PartitionedCHIPS：分区存储，隐私友好
__Secure-前缀强制要求Secure属性
__Host-前缀强制Secure+Path=/+无Domain

常见问题与知识点

什么是Set-Cookie头？

Set-Cookie是服务器通过HTTP响应头发送给浏览器的指令，用于在客户端存储Cookie数据。浏览器接收到后会根据属性规则存储，并在后续请求中通过Cookie头自动回传。正确配置安全属性是防御XSS、CSRF等攻击的关键。

HttpOnly为什么重要？

开启HttpOnly后，JavaScript无法通过document.cookie读取该Cookie。这有效防止XSS攻击者窃取会话令牌。对于会话Cookie、认证Token等敏感数据，强烈建议始终开启HttpOnly。

SameSite各值的区别？

Strict：仅同站请求携带，点击外部链接进入时不会发送Cookie（最安全但可能影响体验）。Lax：同站请求+顶级导航（如点击链接）携带，平衡安全与体验（推荐默认值）。None：所有请求携带，必须同时设置Secure属性，适用于第三方Cookie场景。

什么是CHIPS（Partitioned）？

CHIPS（Cookies Having Independent Partitioned State）是Google提出的隐私沙盒方案。设置Partitioned属性后，Cookie按"顶级站点+嵌入站点"分区存储，不同顶级站点下的第三方Cookie相互隔离。需配合SameSite=None; Secure使用，是第三方Cookie的隐私友好替代方案。

__Secure-和__Host-前缀的作用？

这是Cookie名称的安全前缀约定。__Secure-前缀强制要求Cookie必须有Secure属性。__Host-前缀更严格：必须有Secure、Path=/，且不能设置Domain。浏览器会拒绝不符合要求的带前缀Cookie，提供额外安全保障。

Max-Age和Expires如何选择？

Max-Age使用相对秒数，不依赖客户端时钟，更精确可靠，推荐优先使用。Expires使用绝对日期时间，依赖客户端时钟准确性。如果同时设置，Max-Age优先级更高。设为0或负数可立即删除Cookie。

Domain设置的安全考量？

不设置Domain（最安全）：Cookie仅适用于当前源，不包含子域名。设置Domain：Cookie适用于该域名及所有子域名（如设置example.com，则a.example.com也可访问）。从安全角度，除非确需跨子域共享，否则建议不设置Domain。

如何安全删除Cookie？

删除Cookie需要发送同名的Set-Cookie头，设置Max-Age=0或Expires为过去的时间，且Domain和Path必须与创建时完全一致。建议同时设置Secure和HttpOnly以匹配原Cookie的安全属性，否则删除可能不生效。

🔧 相关工具