Flask中set_cookie必须在Response对象上调用，request无此方法；需用make_response()或redirect()等创建Response后调用，并正确设置max_age、httponly、samesite等参数。
Flask里set_cookie必须在Response对象上调用，不是request
很多人写request.set_cookie()，直接报错——AttributeError: 'Request' object has no attribute 'set_cookie'。因为set_cookie是Response的方法，不是request的。你得先有响应对象，再往它身上挂cookie。
常见做法是用make_response()构造一个响应，再调用set_cookie()：
from flask import Flask, make_response
<p>app = Flask(<strong>name</strong>)</p><p>@app.route('/login')
def login():
resp = make_response('logged in')
resp.set_cookie('session_id', 'abc123', max_age=3600, httponly=True, samesite='Lax')
return resp-
max_age比expires更推荐：浏览器按秒计算，兼容性好；expires要传datetime对象，容易时区出错 -
httponly=True防XSS读取敏感cookie（如session），但别误以为它能防CSRF——那是samesite或CSRF token的事 -
samesite='Lax'是当前平衡安全与可用性的合理默认，设成'Strict'可能导致跨站链接登录态丢失
get_cookie只能从request.cookies里取，没有“get_cookie()”方法
Flask的request对象没有get_cookie()这个函数，常见错误是写request.get_cookie('key')，报AttributeError。正确方式是把request.cookies当字典用：
@app.route('/profile')
def profile():
session_id = request.cookies.get('session_id') # 安全取值，key不存在返回None
if not session_id:
return 'No session', 401
return f'Hello {session_id}'- 永远用
.get('key')而不是['key']，避免KeyError - cookie值始终是字符串，即使你存的是数字
123，取出来也是'123'，需要手动转类型 - 如果前端用了
document.cookie手动设了同名cookie，且没设Path或Domain，可能和后端写的不匹配，导致取不到——检查浏览器开发者工具的Application → Cookies列表看实际发送了哪些
make_response()之后才能set_cookie，但redirect()是个例外
redirect()返回的本身就是Response对象，所以可以直接链式调用set_cookie()：
from flask import redirect, url_for
<p>@app.route('/logout')
def logout():
resp = redirect(url_for('login'))
resp.set_cookie('session_id', '', expires=0) # 清除cookie：设过期时间为0
return resp- 清除cookie不能只删键名，必须显式设
expires=0或max_age=0，否则浏览器不会删除 - 不要用
resp.delete_cookie('key')——Flask里没有这个方法，那是Django的写法 - 如果用
jsonify()，它也返回Response，同样可以链式set_cookie()，但注意Content-Type会变成application/json，别跟HTML响应混用
Secure、Domain、Path这些参数一设错，cookie就发不出去
开发时localhost跑HTTPS？别乱设secure=True，否则HTTP下cookie压根不会被浏览器发送，连request.cookies都收不到——这是最常被忽略的调试盲点。
-
secure=True只应在真实HTTPS环境启用，本地开发用HTTP时务必关掉 -
domain必须匹配浏览器当前域名，比如你在localhost:5000访问，却设domain='example.com'，cookie会被直接丢弃 -
path='/admin'意味着只有/admin/xxx路径下的请求才带上这个cookie，根路径/设的cookie默认对全站有效 - 所有这些参数一旦写死，在测试不同环境（dev/staging/prod）时容易出问题，建议用配置项控制，别硬编码
cookie不是黑盒存储，它是HTTP头的一部分，每一步都依赖浏览器严格遵循RFC规范。参数错一个，它就静默失效——看不到错误，只看到request.cookies空空如也。
