JavaScript无法在响应头中设置Set-Cookie，该操作必须由服务端通过HTTP响应头完成；前端仅能触发请求使浏览器自动接收多个Set-Cookie头，并读取非HttpOnly Cookie。
在 JavaScript 中，你无法直接通过前端代码（如 fetch 或 XMLHttpRequest）在响应头中设置 Set-Cookie。这是浏览器的安全限制：只有服务器端响应才能通过 Set-Cookie 头写入 Cookie，且前端 JS 无法读取或修改该头。
关键前提：Set-Cookie 必须由服务器发出
浏览器只接受并处理来自 HTTP 响应头中的 Set-Cookie 字段，且该字段必须由服务端（如 Node.js、Nginx、PHP、Java 后端等）在响应中明确写出。前端 JavaScript 没有权限添加或伪造这个头。
服务器如何一次性设置多个 Cookie
服务器只需在同一个响应中发送多个 Set-Cookie 头即可。HTTP 协议允许重复出现同名头（Set-Cookie 是少数被明确允许的例外之一），浏览器会逐个解析并分别存储。
例如，一个 Node.js（Express）后端可以这样写：
立即学习“Java免费学习笔记（深入）”；
res.setHeader('Set-Cookie', [
'theme=dark; Path=/; Max-Age=3600',
'locale=zh-CN; Path=/; HttpOnly; SameSite=Lax',
'session_id=abc123; Path=/; HttpOnly; Secure'
]);
或者用 Express 的 res.cookie() 方法（它底层自动拼多个 Set-Cookie 头）：
res.cookie('theme', 'dark', { maxAge: 3600, path: '/' });
res.cookie('locale', 'zh-CN', { httpOnly: false, sameSite: 'lax' });
res.cookie('session_id', 'abc123', { httpOnly: true, secure: true, path: '/' });
前端能做什么？——只能触发和读取（有限）
-
触发设置：通过发起请求（如
fetch('/login', { method: 'POST' })），让后端返回带多个Set-Cookie的响应，浏览器自动接收。 -
读取非 HttpOnly Cookie：用
document.cookie获取客户端可访问的 Cookie（不含HttpOnly标志的）。 -
不能手动构造 Set-Cookie：尝试在
fetch的headers里加Set-Cookie会被浏览器静默忽略，且违反 CORS 安全策略。
注意事项
- 每个
Set-Cookie字符串需完整包含名称、值及属性（如Path、Max-Age、Secure等），属性间用分号空格分隔。 - 若使用
fetch，记得设credentials: 'include'，否则跨域时 Cookie 不会随请求发送，服务器也无法在响应中“回写”新 Cookie。 - 多个
Set-Cookie头在 HTTP/1.1 中是标准支持的；HTTP/2 也保留该语义，无需额外编码。
