Cookie

一塊cookie可能有Domain、Path、Expires、Max-Age、Secure、HttpOnly等多種属性，如

HTTP/1.0 200 OK
Set-Cookie: LSID=DQAAAK…Eaem_vYg; Path=/accounts; Expires=Wed, 13 Jan 2021 22:23:01 GMT; Secure; HttpOnly
Set-Cookie: HSID=AYQEVn…DKrdst; Domain=.foo.com; Path=/; Expires=Wed, 13 Jan 2021 22:23:01 GMT; HttpOnly
Set-Cookie: SSID=Ap4P…GTEq; Domain=foo.com; Path=/; Expires=Wed, 13 Jan 2021 22:23:01 GMT; Secure; HttpOnly
…

Domain和Path属性定义了cookie的范围。它们告诉浏览器cookie属于什麼网站。Cookies只能设置在当前资源的顶级域及其子域上。

如果服务器未指定cookie的Domain和Path，则它们默认为所请求资源的域和路径[20]。

Expires属性定义了浏览器应删除cookie的时间，格式为Wdy, DD Mon YYYY HH:MM:SS GMT或Wdy, DD Mon YY HH:MM:SS GMT（YY大于或等于0并且小于等于69）。[21]

此外也可用Max-Age将cookie的过期时间设置为某一段时间之后（相对于浏览器接收cookie的时间而言）。但Internet Explorer等浏览器可能不支持Max-Age[22][23]。

Secure属性旨在将cookie加密，使浏览器仅通过安全／加密连接使用cookie。

HttpOnly要求浏览器不要通过HTTP（和HTTPS）以外的渠道使用cookie。这意味着无法通过客户端脚本语言（尤其是JavaScript）访问cookie，因此无法通过跨站点脚本攻击轻易窃取。[24]

会话cookie仅在浏览网站时临时存储[25]，关闭浏览器后会自动过期或删除[26]。

持久cookie只在其创建者设置的特定日期后过期，期间一直有效。

安全cookie只能通过加密连接传输（HTTPS）。它们不能通过未加密的连接传输（HTTP），使cookie不易被盗。

虽然最初引入cookie是为了让用户在浏览网站时记录要购买的物品[6][7]。但现在用户购物车的内容通常存储在服务器的数据库中，而不再是客户端的cookie中。

当前会话cookie的常见用途是登录。当用户访问网站的登录页面时，Web服务器通常会向客户端发送一个包含唯一会话标识符的cookie。当用户成功登录时，服务器会记住该特定会话标识符已经过身份验证，并授予用户访问其服务的权限。

许多网站用cookie存储用户偏好等设置，向用户顯示喜好內容。

跟踪cookie用于跟踪记录用户的网络浏览习惯，如用户的购物习惯。

网页可能第三方服务，使用网页很可能会遇到第三方cookie（访问网页外其他服务器的cookie）。RFC 2109和RFC 2965要求浏览器保护用户隐私，默认不允许在服务器间共享cookie，但RFC 6265放宽。大多数浏览器只要第三方网站有合理的隐私政策申明，就默认允许第三方cookie。[32]

广告是第三方cookie常见的使用场景，广告公司借此跟踪用户。网站应当告知用户有第三方cookie存在，不向消费者披露第三方cookie使用情况的网站运营商可能面临法律风险，一般网站都会在隐私或cookie政策说明其使用的第三方cookie。[33]

很多网站用cookie作为用户的唯一标识符，但如果网站使用cookie作为会话标识符，攻击者就可以窃取受害者的全套cookie来冒充其请求。