如何利用HTML的Cookie的path属性控制Cookie在不同路径下的可见性-html教程-PHP中文网

cookie 的 path 属性仅控制浏览器自动携带的路径前缀匹配，非权限校验机制；path=/admin 会错误匹配 /admin-api，应使用 path=/admin/ 等显式尾斜杠实现安全隔离。

如何利用html的cookie的path属性控制cookie在不同路径下的可见性

Cookie 的 path 属性不能“控制访问权限”，它只决定浏览器在哪些请求路径下自动带上该 Cookie；真正的权限校验必须由服务端完成，path 只是前端可见性过滤器。

因为 path 是前缀匹配，不是目录级或完整路径匹配。浏览器只要发现当前请求路径以 path 值开头（且后跟 / 或路径结束），就发送 Cookie。

Set-Cookie: token=abc; path=/admin → 会随 /admin、/admin/、/admin/user、/admin-api（⚠️危险！）等请求发出
Set-Cookie: token=abc; path=/admin/ → 只匹配 /admin/ 及其子路径（如 /admin/users），不匹配 /admin（无尾斜杠）或 /admin-api
要真正隔离管理后台，必须显式加尾斜杠：path=/admin/，而非 path=/admin

全局可用需设为根路径；单页隔离则依赖精确路径 + 尾斜杠策略。

Article To Html

文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。

下载

全站共享：设置 path=/（注意：这是默认值的显式写法，推荐始终明确写出）
仅限某个页面（如 /login）：设 path=/login，但注意这也会匹配 /login-2 —— 实际上无法靠 path 精确限定单页，应改用服务端逻辑或不同 Cookie 名区分
仅限某 SPA 子路由（如 /dashboard/*）：设 path=/dashboard/，并确保所有相关 API 请求路径都落在该前缀下

仅靠 path 隔离，极易因路径设计松散导致敏感 Cookie 泄露。

❌ path=/user 用于用户数据 Cookie → 可能被 /users、/user-profile、/user-api 等路径意外携带
✅ 正确做法：按功能域划分，统一加尾斜杠 —— path=/user/、path=/api/、path=/static/
⚠️ path 不防 XSS：即使设了 path=/admin/，攻击者仍可在该路径下通过 JS 读取 document.cookie（除非加 HttpOnly）
⚠️ path 不防 CSRF：它不阻止跨站请求携带合法 Cookie，必须配合 SameSite 和服务端 referer/token 校验

别只看设置语句，要验证实际请求头中 Cookie 是否出现。

打开浏览器 DevTools → Application → Cookies，检查对应 Cookie 的 Path 列值是否为你设置的（如 /admin/）
分别访问 /admin/ 和 /public/ 页面，在 Network → Headers → Request Headers 中查看 Cookie: 字段是否含目标 Cookie
用 curl 模拟验证：curl -I -b "session=123" https://example.com/admin/user vs curl -I -b "session=123" https://example.com/api/auth