同名Cookie覆盖的本质是作用域匹配：仅当name、domain、path三者完全一致时才会覆盖，否则并存；避免误覆盖需显式声明path、domain、Secure、SameSite等属性，并确保读写删操作严格匹配原配置。
同名Cookie覆盖的本质是作用域匹配
JavaScript中用document.cookie = "name=value"设置Cookie时，浏览器不会简单“追加”，而是先检查是否存在同名、同path、同domain的现有Cookie。三者完全一致，新值就直接替换旧值——这是HTTP协议规定的标准行为，不是JS缺陷，也不是bug。
所以所谓“冲突”，其实是开发者没意识到：同名但不同路径或不同域名的Cookie可以并存。比如：
theme=dark; path=/admintheme=light; path=/usertheme=auto; path=/
这三条会同时存在，互不影响。真正被覆盖的，只是那个“完全撞上”的那一条。
避免意外覆盖的关键操作
写入前不检查，就容易覆盖掉其他模块（如登录态PHPSESSID、统计用tracker_id）或后端下发的重要Cookie。安全写法要显式声明作用域和安全属性：
立即学习“Java免费学习笔记（深入）”；
- 始终指定
path=/（除非你明确只在子路径下生效） - 生产环境必须加
Secure（HTTPS专用）和SameSite=Lax（防CSRF） - 如果目标Cookie来自
example.com，写入时也带上domain=example.com，否则默认是当前完整主机名，可能不匹配 - 不要省略
expires或max-age，否则变成会话级Cookie，关浏览器就丢，还容易被误判为“临时覆盖”
读取和删除时必须严格匹配原配置
读取一个Cookie，靠的是手动解析document.cookie字符串；删除它，本质是“覆盖一次过期的同名Cookie”。这两步都要求path和domain与原始设置完全一致，否则：
- 读不到：比如原Cookie是
token=abc; path=/api，你用path=/去查，找不到 - 删不掉：原Cookie设了
domain=.example.com，你删的时候漏了domain或写成example.com（缺点），浏览器认为是另一条Cookie，旧的还在
建议封装工具函数，把getCookie、setCookie、deleteCookie做成配套方法，内部统一管理默认path和domain，减少手误。
调试同名Cookie共存问题的方法
当发现请求头里出现两个theme=xxx，说明确实有两条同名但作用域不同的Cookie被同时发送。这时要：
- 打开浏览器开发者工具 → Application → Cookies，逐条查看每条Cookie的
Name、Domain、Path、Expires - 注意
Domain字段带点开头（如.example.com）表示允许子域共享；不带点（如example.com）则仅限精确匹配 - 用
document.cookie.split('; ')打印所有键值对，确认JS当前能访问到哪些（受HttpOnly限制的看不到） - 服务端收到重复同名Cookie时，通常只取第一个，顺序由浏览器决定，不可靠——所以前端应主动清理冗余项
