Cookie的path属性通过前缀匹配限制作用范围，应显式加尾斜杠（如path=/admin/）避免路径误匹配；需配合domain、Secure、HttpOnly和SameSite使用才能保障安全。

Cookie 的 path 属性用于指定该 Cookie 在哪些 URL 路径下会被浏览器自动发送到服务器。设置合理的 path 值，能有效限制 Cookie 的作用范围，避免敏感数据在不相关的路径下被意外暴露或读取。

path 的匹配规则是前缀匹配，不是完整路径匹配

浏览器判断是否发送某个 Cookie 时，会检查当前请求的 URL 路径是否以 Cookie 的 path 值开头（区分大小写），且后跟 / 或路径结束。例如：

• Cookie 设置为 path=/admin → 会随 /admin、/admin/、/admin/user、/admin-api（⚠️注意：这个也会匹配！）等请求发送
• Cookie 设置为 path=/admin/ → 会随 /admin/、/admin/user、/admin/settings 发送，但不会匹配 /admin（无尾斜杠）或 /admin-api
• Cookie 设置为 path=/ → 匹配所有路径（默认值），整个域名下所有请求都会携带该 Cookie

常见安全误区与正确做法

很多开发者误以为 path=/admin 只作用于 /admin 页面，实际上它可能泄露给其他相似路径。要真正限定在管理后台子目录，应显式加尾斜杠：

• ✅ 推荐：Set-Cookie: auth=xxx; path=/admin/; HttpOnly; Secure —— 仅限 /admin/ 及其子路径
• ❌ 风险：path=/admin —— 可能被 /admin-api/ 或 /admin-login 等路径无意获取
• ✅ 多区域隔离示例：
  Set-Cookie: user=xxx; path=/user/
Set-Cookie: api_token=yyy; path=/api/
Set-Cookie: static=zzz; path=/static/
  各 Cookie 相互隔离，互不影响

path 必须配合 domain 和 Secure/HttpOnly 使用才真正安全

仅靠 path 无法防止跨域或客户端脚本窃取：

• domain 控制子域名共享范围（如 domain=.example.com 允许 app.example.com 和 api.example.com 共享；不设则仅限当前主机）
• HttpOnly 阻止 JavaScript 通过 document.cookie 访问，防 XSS 泄露
• Secure 确保 Cookie 仅通过 HTTPS 传输，防中间人窃听
• 例如生产环境登录态 Cookie 应设为：
  Set-Cookie: session_id=abc123; path=/admin/; domain=.example.com; Secure; HttpOnly; SameSite=Lax

调试和验证方法

可通过浏览器开发者工具实时观察 Cookie 的 path 是否生效：

• 打开 Application → Cookies，查看每个 Cookie 的 Path 列值
• 切换不同页面（如访问 /admin/ 和 /public/），观察对应 Cookie 是否出现在请求头的 Cookie: 字段中
• 用 curl 模拟请求验证：
  curl -I -b "auth=xxx" https://example.com/admin/user
curl -I -b "auth=xxx" https://example.com/public
  对比响应头中是否包含该 Cookie 的回传（服务端逻辑也需配合校验）