cookie-parser仅解析Cookie字符串为req.cookies对象，不处理有效期逻辑；过期由浏览器依据res.cookie()设置的maxAge（毫秒）或Expires（GMT时间）自动控制，二者共存时maxAge优先。
cookie-parser 本身不负责计算或判断 Cookie 是否过期，它只做解析工作——把请求头里的 Cookie 字符串转成 req.cookies 对象。有效期（如 maxAge 或 Expires）是在设置 Cookie 时由服务器通过 res.cookie() 写入响应头的，浏览器根据这些字段自动控制是否携带该 Cookie 发起下一次请求。
cookie-parser 不处理有效期逻辑
它不会读取、验证或删除已过期的 Cookie。即使某个 Cookie 在浏览器端已过期，只要还没被浏览器清理，且仍出现在请求头中，cookie-parser 就会照常解析出来。也就是说：
✅ 它能读到已过期但尚未被浏览器丢弃的 Cookie
❌ 它不会主动过滤掉过期项，也不会触发清除行为
有效期字段怎么来的
服务器设置 Cookie 时指定的有效期参数，最终会生成对应的响应头字段：
Wjs Uploading Video
下载
将一个或多个视频上传至YouTube。当用户想“上传到YouTube”“发YouTube”“批量上传”“upload to YouTube”“post videos to YouTube”或发布到YouTube时使用此技能。
-
maxAge：单位是毫秒，例如
{ maxAge: 1000 * 60 * 60 }表示 1 小时后失效，浏览器据此计算过期时间 -
Expires：一个 GMT 时间字符串，例如
Wed, 18 Sep 2026 16:11:00 GMT，浏览器直接比对本地时间 - 两者同时存在时，
maxAge优先级更高（HTTP 规范定义）
如何确认一个 Cookie 是否还有效
需要结合服务端逻辑与客户端行为来判断：
- 浏览器端：自动检查
maxAge/Expires，过期后不再随请求发送 - 服务端：不能仅靠
req.cookies是否存在来判断有效性；若需强校验，建议在业务层额外记录签发时间，并与当前时间比对 - 签名 Cookie 场景下：可用
req.signedCookies，但签名验证只防篡改，不解决过期问题
清除已过期 Cookie 的实际做法
没有自动机制，只能手动干预：
- 调用
res.clearCookie('key')显式覆盖，让浏览器立即删除（底层是设置同名、空值、过期时间为过去的时间） - 重新设置时传入新的
maxAge或expires，旧值即被替代 - 前端也可用 JavaScript 删除（仅限未设
httpOnly的 Cookie），但不可靠且不推荐用于关键状态
