多个同名 Cookie 不会自动合并或覆盖，浏览器依据 name + path + domain + secure 组合区分独立项；任一属性不同即视为不同 Cookie，可能共存；常见原因包括路径、域名、secure 属性不一致或多次设置未统一参数。
多个同名 Cookie 不会自动合并或覆盖，浏览器会根据 name + path + domain + secure 标志 的组合来区分它们。只要其中任一属性不同，就视为独立 Cookie，可能同时存在多个同名项。
同名 Cookie 为什么会出现
常见原因包括：
- 同一域名下，不同路径设置了同名 Cookie（如
path=/和path=/admin） - 不同子域或 domain 设置（如
domain=example.com和domain=.example.com） - secure 属性不一致（HTTPS 页面设了
secure，HTTP 页面没设） - 手动多次调用
document.cookie且未统一 path/domain，导致“残留”旧项
服务端收到多个同名 Cookie 怎么办
HTTP 请求头中的 Cookie 字段会把所有匹配的 Cookie 拼接发送，格式类似：
后端解析时，不同框架行为不同：
立即学习“Java免费学习笔记（深入）”；
- Node.js（如 Express）默认取第一个
theme值（light） - Java Spring 可能取最后一个，或报错/忽略
- PHP 的
$_COOKIE['theme']通常只返回最后一个值
这不是前端可控的，所以关键在前端避免生成冲突。
如何安全覆盖同名 Cookie
想让新值生效并清除旧项，必须确保新 Cookie 的以下四项与目标项完全一致：
- name（名称相同）
-
path（路径必须精确匹配，
path=/≠path=） -
domain（若原 Cookie 设了
domain=.example.com，删除/更新时也得带上） -
secure（HTTPS 页面设的必须带
secure，否则无法覆盖）
例如原 Cookie 是：
document.cookie = "token=abc123; path=/api; domain=.site.com; secure;"要更新它，就得写：
document.cookie = "token=xyz789; path=/api; domain=.site.com; secure; expires=...";怎么确认当前有哪些同名 Cookie
JavaScript 无法直接列出所有 path/domain 组合，但可以：
- 读取
document.cookie字符串，提取所有name（注意：只含当前路径可访问的） - 对每个 name，尝试用常见 path（如
/、/admin、/api）和 domain（如空、.example.com）分别清除 - 开发时统一约定默认 path 和 domain，避免分散设置
