GDPR合规关键在于用户明确同意而非Cookie有效期本身；必须先通过清晰横幅、分类开关、可撤回机制获得有效授权，再按用途设定差异化有效期，并持续审计与支持用户权利。
设置Cookie有效期本身不能直接满足GDPR合规要求，但它是合规实践中的关键一环——GDPR真正约束的是“是否获得用户明确同意后才设置非必要Cookie”，以及“是否以最小必要、透明可控的方式使用Cookie”。有效期设置必须服务于这一前提。
必须先获得有效用户同意
GDPR明确禁止默认勾选或“继续浏览即视为同意”。在设置任何非严格必要Cookie（如分析、广告、偏好类）前，网站需：
- 弹出清晰的Cookie横幅，说明每类Cookie用途、数据处理方、保存期限
- 提供单独开关，允许用户按类别开启/关闭（不能“全选”或“一键拒绝”）
- 记录用户选择，并在后续访问中尊重该偏好（例如：用户拒绝分析Cookie，则绝不发送_ga等标签）
- 确保同意状态可随时撤回，且操作路径简单（如页脚“管理Cookie”链接）
为不同类别Cookie设定差异化有效期
GDPR虽未规定具体天数，但要求“数据保留时间不得超出实现目的所必需”。因此有效期应与用途强绑定：
- 必要Cookie（如登录会话、购物车）：可设较短会话期（如24小时）或依赖服务端Session机制，避免长期存储敏感状态
- 偏好类Cookie（语言、主题）：建议7–30天，用户未主动修改时自动续期；若长期不访问，过期后重新询问更合理
- 分析/统计类Cookie（如Google Analytics）：欧盟EDPB建议不超过13个月；实际部署中常设为6个月，并配合IP匿名化
- 广告/追踪类Cookie：强烈建议≤30天，且必须在用户拒绝后完全禁用，不可降级为“匿名化追踪”
技术实现要点（以常见方式为例）
无论用PHP、Egg.js还是前端扩展工具，核心是让有效期成为“同意后的结果”，而非前置动作：
- PHP中调用
setcookie()前，先检查用户是否已授权该类Cookie，再动态计算time() + 秒数 - Egg.js中配置
ctx.cookies.set()时，将maxAge值与用户同意策略联动，拒绝状态下跳过设置 - 使用Cookie Editor等工具调试时，仅用于开发验证——生产环境必须确保所有带有效期的Cookie都源于已记录的用户授权
- 服务器响应头中的
Expires或Max-Age字段，必须与用户同意时间戳、用途分类保持逻辑一致
定期审计与用户权利支持
合规不是一次性设置，而是持续过程：
- 每6个月审查一次Cookie清单：是否存在已停用功能遗留的Cookie？是否有新接入第三方未申报？
- 提供“导出我的数据”和“删除我的数据”入口，能批量清除用户相关Cookie及后台记录
- 当用户撤回同意时，不仅删除当前Cookie，还需通知关联第三方（如CMP平台触发下游清理）
- 在隐私政策中用通俗语言写明：“我们对‘偏好设置’类Cookie保留30天，除非您提前关闭——您可在任何时候通过[链接]更新选择”
