要让 Cookie 在二级域名间共享，必须将 Domain 属性设为以点开头的父域（如 .example.com），并确保 Secure、Path 和 SameSite 等属性一致；否则子域无法共享。

要让 Cookie 在二级域名间共享，关键在于正确设置 Domain 属性，使其覆盖多个子域，同时确保协议、路径和安全属性一致。

Domain 属性必须以点开头，且指定父域

Cookie 的 Domain 属性决定哪些域名可以读取它。若想在 a.example.com 和 b.example.com 之间共享，需将 Domain 设为 .example.com（注意开头的点）。浏览器会匹配该域名及其所有子域。

• ✅ 正确：Domain=.example.com → a.example.com、b.example.com、example.com 都可访问
• ❌ 错误：Domain=example.com（无点）→ 仅主域匹配，部分浏览器拒绝子域访问
• ❌ 错误：Domain=a.example.com → 仅限该子域，无法被 b.example.com 读取

设置时需显式指定 Domain，不能依赖默认行为

浏览器默认不会自动将 Cookie 提升到父域。即使从 a.example.com 设置 Cookie，若未声明 Domain=.example.com，它只会绑定到 a.example.com。

• 服务端设置示例（HTTP 响应头）：
  Set-Cookie: token=abc123; Domain=.example.com; Path=/; HttpOnly; Secure
• 前端 JavaScript 设置示例：
  document.cookie = "token=abc123; domain=.example.com; path=/; secure; httponly";（注意：HttpOnly Cookie 无法用 JS 读写）

注意协议、路径与安全标志的一致性

即使 Domain 匹配，若 Secure、SameSite 或 Path 不一致，Cookie 也可能不被发送或被拦截。

• Secure：如果站点全站启用 HTTPS，务必加上 Secure，否则 HTTPS 页面不会发送非 Secure Cookie
• SameSite：设为 Lax 或 None（若需跨站提交表单/跳转），但 None 必须搭配 Secure
• Path：建议统一设为 Path=/，避免因路径不同导致子域间不可见

验证是否生效的小技巧

可在各子域页面打开开发者工具 → Application → Cookies，检查对应域名下是否出现相同名称的 Cookie；也可用 fetch 或表单提交测试后端是否收到该 Cookie。

• 常见失败原因：域名拼写错误（如多写点、少写点）、HTTPS 环境下漏掉 Secure、本地测试用了 localhost（不支持二级域名 Cookie）
• 开发调试建议：用真实二级域名（如 dev.example.com / api.example.com），或修改 hosts 绑定到 127.0.0.1