max-age=0是rfc 6265明确定义的即时删除机制，跨所有现代浏览器内核一致生效；max-age=-1表示会话cookie，仅驻留内存且绑定浏览器进程，不可用于清除。
Max-Age=0 和 Max-Age=-1 本质不是“强力秒清除”的两种手段，而是完全不同的生命周期策略：前者是主动删除，后者是默认会话行为。所谓“不同浏览器内核下的强力秒清除”，关键不在参数取值差异，而在于设置方式是否覆盖所有生效路径。
Max-Age=0 是唯一可靠的即时删除方式
这是 Cookie 规范（RFC 6265）明确定义的删除机制：当服务端在 Set-Cookie 响应头中设置 Max-Age=0，浏览器必须立即将同名 Cookie 标记为过期，并从存储（内存或磁盘）中移除。该行为跨所有现代内核（Chrome/Blink、Firefox/Gecko、Safari/WebKit、Edge/Chromium）一致生效。
- 必须配合正确的域名、Path、Secure、SameSite 等属性，否则可能因匹配失败而无法删除目标 Cookie
- 不能仅靠前端 JavaScript 的
document.cookie = "key=; expires=Thu, 01 Jan 1970 00:00:00 GMT"模拟——这实际依赖 expires，且易受客户端时间篡改影响 - 服务端示例（Go）：
c.SetCookie("sessionid", "", 0, "/", "example.com", false, true)
Max-Age=-1 并非清除操作，而是会话级保留
Max-Age=-1（或不设 Max-Age 且不设 Expires）表示该 Cookie 属于“会话 Cookie”，其生命周期绑定浏览器会话。它不会被写入磁盘，只驻留内存；但关闭标签页不等于结束会话，关闭整个浏览器进程才算。因此它不能用于“秒清除”场景。
- 在 Chrome 中，启用“继续运行后台页面”或使用 PWA 时，会话可能长期延续，Cookie 不会消失
- Firefox 多账户容器、Safari 隐私浏览模式下，会话隔离严格，但依然无法通过 Max-Age=-1 主动触发清除
- 把 Max-Age=-1 当作删除手段，属于概念混淆，实践中必然失效
真正实现跨内核“强力秒清除”的必要条件
仅靠 Max-Age 参数本身不够，需组合策略确保匹配与覆盖：
- 全路径匹配：删除时必须显式指定与创建时完全一致的 Path（如 /api/v1/）和 Domain（如 .example.com），否则浏览器视为不同 Cookie
- 属性对齐：若原 Cookie 设有 Secure、HttpOnly、SameSite=Lax，删除请求也必须带上对应标志，否则 HttpOnly Cookie 无法被前端覆盖，Secure Cookie 在 HTTP 环境下不发送
-
双机制兜底：服务端发 Max-Age=0 的 Set-Cookie；前端同步执行
document.cookie清除（适用于非 HttpOnly Cookie），避免因网络延迟导致短暂残留 - 避免时间依赖：绝不依赖 Expires 字段做清除，因其受客户端系统时间影响，Safari 对非法 GMT 格式更敏感，易静默失败
常见误操作与验证方法
清除后务必验证是否真正消失，而非仅看开发者工具中的“过期时间”列：
- 在 Chrome/Firefox/Safari 的 Application → Cookies 面板中，刷新页面后检查目标域名下是否已无该条目
- 发起一次真实请求，抓包确认请求头 Cookie 字段中不再包含该键值对
- 特别注意移动端 WebView（如 Android XWalk、iOS WKWebView）：部分旧版内核对 Max-Age=0 支持不完整，建议降级兼容：同时设置 Max-Age=0 和 Expires=过去时间
