Cookie 作用域機制：瀏覽器只發送當前域的 Cookie

結論

**瀏覽器只會附帶當前請求域（及其父域）下的 Cookie**，**不會**上傳其他無關域的 Cookie。

詳細規則

Set-Cookie 關鍵屬性

Set-Cookie: key=value; Domain=.taobao.com; Path=/; Secure; HttpOnly; SameSite=Lax

• Domain：指定可訪問的域。.taobao.com 允許所有子域；不指定則默認當前主機（Host-only）。
• Path：URL 路徑前綴過濾。
• SameSite：Strict/Lax/None 控制跨站請求攜帶行為，現代瀏覽器默認 Lax。

開發啟示

1. **單點登入 (SSO)**：主域設置 Domain=.parent.com，子系統共享登錄態。
2. **安全隔離**：敏感業務部署在獨立二級域甚至獨立域，避免 Cookie 洩露。
3. **調試技巧**：F12 Network → Request Headers → Cookie，查看實際發送內容；Application → Cookies 查看存儲屬性。

代碼驗證 (JavaScript)

// 僅能讀寫當前域及父域允許的 Cookie
document.cookie = "test=1; domain=.example.com; path=/"; // 設置父域 Cookie
console.log(document.cookie); // 僅顯示當前域可見 Cookie