JavaScript 设置 Cookie 过期时间需按场景分级：会话型用默认 session Cookie，持久型分登录态（≤7天）、“记住我”（30天+服务端校验）、分析类（1年+用户授权）；统一用 max-age 而非 expires；敏感操作后主动清理或缩短有效期；前端设置须与服务端验证、令牌策略协同。
在 JavaScript 中设置 Cookie 的过期时间，本质是在可用性与隐私之间做权衡：过长容易泄露用户行为、增加被滥用风险；过短则频繁重登录，影响体验。关键不是“设多长”，而是“按场景分级设”。
区分会话型 Cookie 与持久型 Cookie
浏览器默认的 session Cookie（不设 expires 或 max-age）在关闭标签页后自动清除，适合登录态临时保持，隐私风险最低。若需跨会话保留（如“记住我”），才启用持久 Cookie，并明确限制生命周期。
- 登录态主 Cookie 建议用
HttpOnly + Secure + SameSite=Lax，过期时间设为 7 天以内（例如max-age=604800） - “记住我”类 Cookie 可设为 30 天，但必须配合服务端主动校验设备指纹或二次验证，不能仅依赖 Cookie 本身
- 分析类或偏好类 Cookie（如语言、主题）可设为 1 年，但需用户明确授权（符合 GDPR/CCPA）
优先使用 max-age，而非 expires
max-age 是相对时长（秒），由浏览器本地时间计算，更可靠；expires 是绝对时间戳，易受客户端时间篡改或偏差影响。JavaScript 中设置时应统一用 max-age：
document.cookie = "token=abc123; max-age=3600; path=/; secure; samesite=lax";
避免写 expires=Wed, 01 Jan 2025 00:00:00 GMT —— 用户调快系统时间就可能让 Cookie “永不过期”。
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
立即学习“Java免费学习笔记（深入）”；
敏感操作后主动清理或缩短有效期
用户修改密码、登出、切换账号等动作，前端应立即删除相关 Cookie，并通知后端作废对应令牌。对高敏感操作（如支付确认），可动态将当前会话 Cookie 的 max-age 重置为 5 分钟，降低中间人劫持后的利用窗口。
- 登出时执行：
document.cookie = "session=; max-age=0; path=/;" - 关键操作前检查 Cookie 剩余有效期，不足 10 分钟则提示“请重新验证身份”
配合服务端策略，前端不单独决定安全边界
Cookie 过期时间只是第一道防线。前端设置的 max-age 可被绕过（如手动编辑），真正有效的是服务端对令牌的签发时间、刷新逻辑和失效检查。例如：
- 服务端颁发 JWT 时嵌入
exp字段，且严格校验 - 每次请求验证 Cookie 对应的 session 是否已被主动注销（黑名单机制）
- 长期 Cookie 配合短期访问令牌（Access Token）+ 长期刷新令牌（Refresh Token），后者才存于 Cookie，且每次刷新都更新过期时间
不复杂但容易忽略：过期时间不是孤立参数，它必须和服务端验证逻辑、用户交互路径、合规要求一起设计。前端写进 Cookie 的每一秒，都要有后端兜底。
