request.cookies 读不到 Cookie 是因请求未携带 Cookie 头或跨域/Secure 设置不当；它只读，写 Cookie 需通过响应对象的 set_cookie() 方法。
request.cookies 读不到 Cookie 是因为没带 Cookie 头
浏览器发请求时，Cookie 请求头必须存在，request.cookies 才有内容。如果用 curl、Postman 或代码模拟请求时没手动加 Cookie 头，request.cookies 就是空的 dict，不是 Flask 没实现。
常见错误现象：print(request.cookies) 输出 {}，但浏览器开发者工具 Network 面板里能看到请求确实带了 Cookie —— 这通常是因为你测试时用的是不同域名或端口（比如前端 localhost:3000 调后端 localhost:5000），触发了浏览器的同源策略，默认不发送 Cookie。
- 确保前后端同源（协议 + 域名 + 端口完全一致），或后端明确设置
supports_credentials=True且前端fetch加credentials: 'include' - 用
curl -b "session_id=abc123" http://127.0.0.1:5000/api测试最直接，绕过浏览器限制 - 检查响应头是否含
Set-Cookie：如果之前没设过 Cookie，request.cookies当然为空
request.cookies 是 ImmutableMultiDict，不能直接赋值修改
request.cookies 是只读对象，类型是 werkzeug.datastructures.ImmutableMultiDict，试图执行 request.cookies['key'] = 'val' 会报 TypeError: 'ImmutableMultiDict' object does not support item assignment。
它只是对 HTTP 请求头中 Cookie 字段的解析结果，不是存储容器。想“写” Cookie，必须通过响应对象：
立即学习“Python免费学习笔记（深入）”；
- 用
make_response()包裹返回值，再调用set_cookie()方法 - 或者直接在视图函数里 return 一个
Response对象并调用set_cookie() -
set_cookie()的domain和path参数要和发送时一致，否则浏览器可能忽略该 Cookie
示例：
from flask import Flask, request, make_response<br>app = Flask(__name__)<br><br>@app.route('/api')<br>def api():<br> # 读取<br> token = request.cookies.get('auth_token')<br> # 写入（需响应对象）<br> resp = make_response({'status': 'ok'})<br> resp.set_cookie('auth_token', 'new_val', max_age=3600)<br> return resp
中文或特殊字符 Cookie 值需要 urldecode，但 Flask 自动处理了
浏览器发送 Cookie 时会对值做 URL 编码（如空格变 +，中文变 %E4%B8%AD），但 Flask 的 request.cookies 已自动解码，拿到的就是原始字符串，不用手动 urllib.parse.unquote。
容易踩的坑是：自己用 requests 模拟请求时，误把已编码的字符串再塞进 cookies= 参数，导致服务端收到双重编码值。
- 正确做法：
requests.get(url, cookies={'user_name': '张三'})，让 requests 自己编码 - 错误做法：
cookies={'user_name': '%E5%BC%A0%E4%B8%89'}，跳过 requests 编码逻辑 - 如果从日志或调试中看到乱码，先确认是不是前端 JS 用
document.cookie手动拼接时忘了encodeURIComponent
Secure 和 HttpOnly Cookie 在开发环境可能不生效
如果设置了 secure=True，Flask 只会在 HTTPS 协议下发送 Set-Cookie 头；设了 httponly=True 则 JS 无法读取（document.cookie 不可见），但 request.cookies 仍能正常读到。
本地开发用 http://127.0.0.1:5000 时，secure=True 会让 Cookie 直接被浏览器丢弃，看起来就像“没设置成功”。这不是 bug，是浏览器强制行为。
- 开发阶段建议
secure=False，上线 Nginx 反代后由反向代理统一加Secure标志 -
httponly=True对防 XSS 有效，但要注意：如果接口本身是给前端 JS 调用的，且 JS 需要主动读某个 Cookie（比如用于签名），就不能设httponly - Chrome 开发者工具 Application → Cookies 里能看到每个字段的
Secure/HttpOnly状态，比看响应头更直观
Flask 的 request.cookies 行为很稳定，问题大多出在请求发起端或部署配置上，而不是读取逻辑本身。真正容易被忽略的是跨域场景下的 Cookie 发送条件，以及 Secure 标志在非 HTTPS 环境下的静默失效。
