JavaScript中配置Cookie的Domain和Path用于控制其作用域：Domain需以点号开头并匹配根域名，Path需显式设置以限定路径范围，二者必须配合使用才能实现跨子域全路径生效。
在 JavaScript 中配置 Cookie 的 Domain 和 Path，核心是控制该 Cookie 在哪些域名和路径下被浏览器自动发送。这两个参数不提供安全隔离，但决定了作用范围的边界——设错会导致子域读不到、跨路径失效，甚至被浏览器直接忽略。
Domain 设置：让 Cookie 跨子域共享
Domain 用于指定 Cookie 可被哪些域名下的页面访问。关键规则有三条：
- 必须以英文点号（.）开头，例如
.example.com，不能写成example.com或www.example.com - 值必须与当前页面所属的根域名一致，比如在
blog.example.com页面设置domain=.example.com是合法的；但设成.com或.other.com会被浏览器拒绝 - 若不显式设置 domain，浏览器默认使用当前完整主机名（如
app.example.com），此时其他子域无法读取
示例：在 admin.example.com 设置一个供所有子域共用的登录态 Cookie：
Path 设置：限定 Cookie 的请求路径范围
Path 控制浏览器在哪些 URL 路径下自动携带该 Cookie。它只影响“发不发”，不影响“读不读”——JS 仍可通过 document.cookie 全局读取（除非加了 HttpOnly）。
立即学习“Java免费学习笔记（深入）”；
- 推荐显式设为
path=/（全站生效）或具体前缀如path=/api/、path=/admin/ - 路径区分大小写，
/Profile和/profile视为不同作用域 - 结尾斜杠很重要：
path=/admin/匹配/admin/users，但不匹配/admin-api或/adminlogin - 含中文或特殊字符时，value 必须用
encodeURIComponent()编码，path 值本身不用编码
示例：只为后台管理区启用的偏好设置 Cookie：
document.cookie = "theme=dark; path=/admin/; expires=Tue, 12 Aug 2026 00:00:00 GMT; Secure; SameSite=Strict";Domain + Path 必须配合使用才有效
单独设对 domain 却漏掉 path，或者 path 设得太窄，都会导致预期外的不可见：
- 如果想让
.example.com下所有子域、所有路径都能用这个 Cookie，必须同时写domain=.example.com和path=/ - 如果只写
domain=.example.com但没写path，浏览器会默认使用当前页面路径（比如/user/profile），那么/api/请求就不会带上它 - 反过来，只设
path=/不设domain，Cookie 就只能在当前子域内生效，无法跨到api.example.com等其他子域
常见错误与规避方式
这些写法看似合理，实际无效或危险：
-
domain=example.com（缺前导点）→ 浏览器静默忽略 -
domain=.localhost→ 本地开发时无效，现代浏览器不支持点号开头的 localhost -
path=admin（缺斜杠）→ 可能意外匹配/administrate等无关路径 - 在 HTTP 页面设
Secure属性 → Cookie 直接不存，且无报错提示
调试建议：用浏览器开发者工具的 Application → Cookies 面板实时查看 domain/path 是否按预期写入，注意观察“Domain”列显示的值是否带点、是否小写、是否与当前页匹配。
