怎么使用JavaScript操作Cookie的过期时间？

答案：JavaScript通过document.cookie设置Cookie过期时间需使用expires属性并配合UTC格式日期字符串。核心方法是利用Date对象的toUTCString()生成正确格式的时间，并通过拼接字符串方式设置，若未设置expires则生成会话Cookie；常见做法是封装setCookie函数传入天数自动计算过期时间，同时指定path=/确保作用域覆盖全站；删除Cookie需将expires设为过去时间且必须匹配原Cookie的path和domain属性；影响Cookie生命周期的还有secure、HttpOnly和SameSite等关键属性，分别控制传输安全、脚本访问权限及跨站请求行为，其中path和domain设置不当常导致访问异常，是开发中易错点。

使用JavaScript操作Cookie的过期时间，核心在于设置

expires

要通过JavaScript设置Cookie的过期时间，我们主要依赖

document.cookie

expires=DateString

DateString

Date

toUTCString()

一个常见的实践是创建一个辅助函数来管理Cookie的设置，这样可以更好地封装逻辑，比如计算未来某个日期的UTC字符串。

function setCookie(name, value, days) {
    let expires = "";
    if (days) {
        const date = new Date();
        // 计算从现在开始days天后的时间戳
        date.setTime(date.getTime() + (days * 24 * 60 * 60 * 1000));
        // 将日期转换为UTC字符串，这是Cookie expires属性要求的格式
        expires = "; expires=" + date.toUTCString();
    }
    // 构造Cookie字符串，path=/ 是一个很重要的点，确保Cookie在整个网站都可用
    document.cookie = name + "=" + (value || "") + expires + "; path=/";
}

// 示例：设置一个名为 'username'，值为 'Alice'，7天后过期的Cookie
setCookie("username", "Alice", 7);

// 示例：设置一个会话Cookie（不设置过期时间，浏览器关闭时失效）
setCookie("session_id", "some_unique_id");

// 示例：让一个Cookie立即过期（等同于删除），可以通过设置一个过去的日期
setCookie("username", "", -1); // 传入-1天，使其立即过期

这里有一个很重要的点是

path=/

path

secure

SameSite

立即学习“Java免费学习笔记（深入）”；

为什么Cookie的过期时间设置总是让人头疼？

说实话，Cookie的过期时间设置，尤其是通过

document.cookie

expires

Date.prototype.toUTCString()

其次，时间计算本身就有点绕。我们需要把“几天后”转换成具体的毫秒数，再加到当前时间戳上，然后转换成日期对象，最后再格式化。这一系列操作，任何一步出错都可能导致Cookie失效时间不对。

魔珐星云

无需昂贵GPU，一键解锁超写实/二次元等多风格3D数字人，跨端适配千万级并发的具身智能平台。

下载

再者，Cookie的生命周期不仅仅受

expires

max-age

expires

path

domain

path

domain

除了过期时间，还有哪些Cookie属性会影响其生命周期和可用性？

除了

expires

max-age

• path

  : 这个属性定义了Cookie在哪个路径下是可用的。比如，

  path=/

  表示Cookie在整个网站的任何路径下都可用。如果设置为

  path=/app

  ，那么Cookie只在

  /app

  及其子路径下可用。这是一个常见的误区，很多时候Cookie无法访问就是因为

  path

  设置不正确。

• domain

  :

  domain

  属性指定了Cookie所属的域名。如果未指定，默认是设置该Cookie的当前主机名（不包含子域名）。如果指定了，比如

  domain=example.com

  ，那么Cookie对

  example.com

  及其所有子域名（如

  www.example.com

  ,

  blog.example.com

  ）都可用。但值得注意的是，你只能为当前域或其父域设置Cookie，不能为其他域设置。

• secure

  : 这是一个布尔属性。如果设置了

  secure

  ，那么Cookie只会在HTTPS连接下发送到服务器。这意味着在HTTP连接中，浏览器不会发送这个Cookie，从而增加了传输的安全性，防止敏感信息被窃听。

• HttpOnly

  : 如果设置了

  HttpOnly

  ，那么JavaScript将无法通过

  document.cookie

  API访问到这个Cookie。这个属性主要是为了防止跨站脚本攻击（XSS），即使攻击者成功注入了恶意脚本，也无法窃取到用户的Session Cookie。这是一个非常重要的安全特性。

• SameSite

  : 这是近年来非常重要的一个安全属性，用于防止跨站请求伪造（CSRF）攻击。它有三个值：

  • Lax

    （默认值）：在跨站请求中，只有GET请求且是顶级导航时（比如点击链接），才会发送Cookie。

  • Strict

    ：在所有跨站请求中都不发送Cookie。只有当请求是同站发起的，才会发送。

  • None

    ：在所有跨站请求中都发送Cookie，但必须同时设置

    secure

    属性（即Cookie只能通过HTTPS发送）。

这些属性共同编织了一张复杂的网，决定了Cookie何时、何地以及如何被使用。

如何有效地“删除”一个已经设置的Cookie？

要有效地“删除”一个已经设置的Cookie，其实并没有一个直接的

deleteCookie

删除Cookie的关键在于，你必须提供与原始Cookie完全匹配的

name

path

domain

function deleteCookie(name, path = "/", domain = "") {
    // 设置一个过去的日期，通常是1970年1月1日
    const pastDate = "Thu, 01 Jan 1970 00:00:00 UTC";

    let deleteString = name + "=; expires=" + pastDate + "; path=" + path;

    // 如果原始Cookie设置了domain，这里也必须匹配
    if (domain) {
        deleteString += "; domain=" + domain;
    }

    // 将构造好的字符串赋值给document.cookie
    document.cookie = deleteString;
}

// 示例：删除名为 'username' 的Cookie，假设它是在根路径 '/' 下设置的
deleteCookie("username");

// 示例：如果 'user_pref' Cookie是在 '/settings' 路径下设置的，你需要这样删除
// deleteCookie("user_pref", "/settings");

// 示例：如果 'analytics_id' Cookie是在 '.example.com' 域下设置的
// deleteCookie("analytics_id", "/", ".example.com");

这里需要特别强调的是

path

domain

/app

path=/

path

domain

path

domain

path=/

domain