Cookie 機制詳解：為什麼個人中心頁面能自動讀取登錄 Cookie？

核心機制：瀏覽器自動攜帶同域 Cookie

當你在登錄頁 login.example.com 寫入 Cookie 後：

1. 瀏覽器將 Cookie 存儲在本地（內存/硬盤），關聯域 example.com、路徑 /、安全屬性（Secure、HttpOnly、SameSite）。
2. 用戶跳轉到 profile.example.com（個人中心）時，**瀏覽器自動檢查 Cookie 池**：凡符合 域匹配、路徑匹配、未過期、Secure/HTTPS 一致、SameSite 策略允許 的 Cookie，**自動放入 HTTP 請求頭 Cookie: name=value; ... 發送給服務器**。
3. 服務端（Java/Servlet/Node/PHP/Go...）從請求頭解析 Cookie，識別用戶會話，**無需前端顯式傳參**。

關鍵屬性決定「能否自動帶上」

Java Servlet 代碼示例

登錄寫入

@WebServlet("/login")
public class LoginServlet extends HttpServlet {
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) {
        // 驗證用戶名密碼...
        String sessionId = UUID.randomUUID().toString();
        // 存入 Redis: sessionId -> userId
        
        Cookie cookie = new Cookie("SESSIONID", sessionId);
        cookie.setDomain(".example.com");   // 支援子域
        cookie.setPath("/");                // 全站
        cookie.setHttpOnly(true);           // 防 XSS
        cookie.setSecure(true);             // 僅 HTTPS
        cookie.setMaxAge(30 * 24 * 3600);   // 30 天
        // cookie.setAttribute("SameSite", "Lax"); // Servlet 4.0+ (Tomcat 9+, Jetty 9.4+)
        resp.addCookie(cookie);
        
        resp.sendRedirect("https://profile.example.com");
    }
}

個人中心讀取

@WebServlet("/profile")
public class ProfileServlet extends HttpServlet {
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) {
        Cookie[] cookies = req.getCookies(); // 容器自動解析請求頭 Cookie
        String sessionId = null;
        if (cookies != null) {
            for (Cookie c : cookies) {
                if ("SESSIONID".equals(c.getName())) {
                    sessionId = c.getValue();
                    break;
                }
            }
        }
        // 從 Redis 獲取 userId -> 查用戶信息 -> 渲染頁面
    }
}

常見坑點排查

• 域不匹配：登錄寫 www.example.com，個人中心在 app.example.com → 需寫 .example.com。
• Path 過窄：登錄寫 /login，個人中心在 /profile → 需寫 /。
• Secure 不一致：登錄頁 HTTPS，個人中心誤用 HTTP → Cookie 不發送。
• SameSite=Strict：從外部鏈接跳轉個人中心 → Cookie 不發送 → 改 Lax。
• 第三方 Cookie 被瀏覽器阻擋：登錄域與業務域不同主域（如 auth.com vs app.com）→ 現代瀏覽器默認阻擋 → 需改為同主域或用 OAuth2/OIDC 授權碼流。

總結

**瀏覽器是 Cookie 的自動攜帶者**。只要登錄時正確設置 Domain/Path/Secure/HttpOnly/SameSite，後續同域請求**無需任何前端代碼干預**，服務端即可從請求頭透明獲取。這是 HTTP 無狀態協議下維持會話的基石機制。

1. 上一篇文章： Oracle 查詢表創建時間與創建者：USER_OBJECTS 視圖一條 SQL 搞定
2. 下一篇文章： HTML 動態生成可交互扇形統計圖：ECharts / Chart.js / HighCharts 選型指南

程式設計綜合問答

VS2013 ASP.NET「請求在此上下文中不可用」異常解決

異常現場 調試運行至某行代碼拋出 HttpException

Java 文件讀取阻塞問題：BufferedReader.readLine() 卡死排查

現象 Debug 顯示程序卡在 `String line =

J2EE 架構選型：HttpService vs WebService，推薦 SpringMVC 輕量級 REST

場景 服務 Android 和 C# 客戶端，傳輸 JSON

Android 多個 LinearLayout 單選效果：變量記錄當前選中項切換背景

實現邏輯 定義成員變量 `private LinearLa