html 本身无法设置 cookie，因它是静态标记语言，不执行逻辑；浏览器仅响应 http 响应头中的 set-cookie 或 javascript 调用 document.cookie，且后者受 domain、path、httponly、secure、samesite 等严格限制。
不能直接在纯 HTML 文件里设 Cookie —— document.cookie 是 JavaScript API，HTML 本身没有设置 Cookie 的语法或标签。
为什么 <meta> 或 HTML 属性设不了 Cookie
HTML 是静态标记语言，不执行逻辑。像 <meta http-equiv="Set-Cookie" content="a=b"> 这类写法早已被所有主流浏览器废弃（自 IE6 后就不再支持），现代浏览器完全忽略它，也不会触发任何 Cookie 写入行为。
- 浏览器只认 HTTP 响应头中的
Set-Cookie，或 JS 执行时调用document.cookie = "key=value" - 即使你把
<script>document.cookie="x=y"</script>写在 HTML 里，也得靠浏览器加载并执行 JS 引擎，本质仍是 JS 行为，不是 HTML 功能 - 服务端渲染的 HTML 模板（如 EJS、Django Template）里插的
是服务端代码，不是 HTML 本身的能力
document.cookie 在前端设 Cookie 的真实限制
能用 JS 设，但有硬性约束，绕不开：
- Domain 和 Path 受当前页面 URL 限制：比如你在
https://admin.example.com/settings页面执行document.cookie = "token=123; Domain=.example.com"，浏览器会静默失败（不报错，但不生效）——因为 JS 无法提升 domain 权限到父域，除非当前页本身就是.example.com下的合法子域且协议/端口匹配 - HttpOnly Cookie 完全不可见：
document.cookie读不到、也覆盖不了带HttpOnly标志的服务端 Cookie - Secure Cookie 只能在 HTTPS 页面中通过 JS 设置；HTTP 页面设
Secure属性会被浏览器丢弃 - SameSite 属性不能通过 JS 设置：无论你写
document.cookie = "a=b; SameSite=Lax"，浏览器都会忽略该字段，只保留键值对和 path/expires 等少数几个
哪些场景必须靠服务端发 Set-Cookie
只要涉及安全、跨路径/子域共享、或需要 HttpOnly/Secure/SameSite，就必须由后端响应头下发：
- 登录成功后写 sessionid：必须服务端生成并设
HttpOnly; Secure; SameSite=Lax; Domain=.example.com - SSO 登录回调（如 OAuth）：跳转回前端时，需服务端在重定向响应中带
Set-Cookie，否则前端 JS 来不及介入 - 防止 CSRF 的 anti-CSRF token：通常和服务端 session 绑定，需
HttpOnly保护，JS 无法代劳 - 本地开发调试时用
localhost:3000 → localhost:8000跨端口：浏览器视作跨域，JS 写的 Cookie 不会自动携带到另一端口请求中，只能靠后端代理统一域下发
真正容易被忽略的一点：很多人以为“前端写了 cookie 就算登录态”，其实关键不在「写」，而在「下一次请求是否自动带上」——而这完全取决于服务端设置的 Domain、Path、SameSite 和协议一致性。JS 能写的只是表层，底层规则全由服务端响应头定义。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
