cookie的path属性通过前缀匹配（区分大小写、自动补尾斜杠）限定作用路径，需设为最小必要路径（如path=/admin），并必须与httponly、secure组合使用才能有效防控泄露风险。
Cookie 的 Path 属性是控制其作用范围的关键机制，它决定浏览器在哪些 URL 路径下自动携带该 Cookie 发送到服务器。若设置不当（如默认为 /），一个在 /admin 下设置的敏感会话 Cookie 可能被 /public 或 /api/test 等无关路径下的脚本读取或发送，增加泄露风险。
明确指定最小必要路径
只为真正需要访问该 Cookie 的路径精确设置 Path，避免宽泛覆盖。例如：
- 管理后台登录后发放的 session Cookie，应设为
Path=/admin，这样只有/admin、/admin/users、/admin/settings/edit等子路径请求才会携带它； - 用户个人中心的 token Cookie 可设为
Path=/profile，不向/blog或/shop暴露； - API 认证用的临时凭证 Cookie 若仅用于
/api/v2/checkout，建议设为Path=/api/v2/checkout（注意：浏览器按前缀匹配，实际会覆盖所有以该路径开头的请求）。
注意 Path 匹配规则与大小写敏感性
浏览器对 Path 的匹配是**前缀匹配 + 区分大小写**，且自动补尾斜杠。例如：
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
-
Path=/user匹配/user、/user/、/user/profile、/users（⚠️这是常见陷阱！/users也匹配，因它是/user的前缀）； - 要严格限定到
/user/下，应设为Path=/user/（结尾带斜杠），此时/users不再匹配； -
Path=/User和Path=/user被视为不同路径，不会互相覆盖或共享。
配合 HttpOnly 和 Secure 使用才真正有效
仅靠 Path 限制无法防止 XSS 盗取 Cookie——它只控制“何时发送”，不控制“能否被 JS 读取”。必须组合使用：
-
HttpOnly：禁止 JavaScript 通过
document.cookie访问，阻断 XSS 场景下的直接读取； - Secure：确保 Cookie 仅通过 HTTPS 传输，防止明文窃听；
- 再加上精细的 Path，才能实现“仅在必要路径、仅经加密信道、仅由服务端使用”的三重收敛。
开发与测试时验证 Path 是否生效
不要依赖代码逻辑推断，应在真实请求中验证：
- 用浏览器开发者工具 → Application → Cookies，查看目标 Cookie 的 Path 字段是否符合预期；
- 发起不同路径的请求（如
/admin/login、/public/home），在 Network 面板检查 Request Headers 中是否包含该 Cookie； - 后端可在中间件中打印
req.headers.cookie，确认敏感 Cookie 是否出现在不该出现的路由中。
