删除cookie需用同名、同path、同domain、同secure及samesite属性的过期cookie覆盖，任一属性不匹配则无法删除。
删除 Cookie 不是“点一下就消失”，而是让浏览器用一个同名、同作用域、但已过期的新 Cookie 去覆盖旧的。关键在于：浏览器靠 name + path + domain + secure（+ samesite） 这组属性共同识别一个 Cookie。漏掉或写错其中任何一个，就等于发了一张“找错人”的作废通知——旧 Cookie 依然稳稳留在本地。
为什么 Domain 必须完全一致？
Domain 决定了 Cookie 能被哪些域名下的请求携带。浏览器按精确匹配规则判断是否“属于你”：
- 当初设为
domain=.example.com，表示它对example.com及所有子域名（admin.example.com、api.example.com）都有效；删的时候也必须写.example.com，写成example.com（少个点）或www.example.com都不匹配 - 如果当初没写 domain，浏览器默认设为当前完整主机名（如
www.example.com），那删除时 domain 就得留空或显式设成www.example.com，不能填.example.com - 常见错误：开发环境用
localhost，生产环境切到.example.com，但删除逻辑没区分，导致删不掉
为什么 Path 必须一字不差？
Path 是 Cookie 的“辖区范围”。不同 path 下可以共存同名 Cookie，互不影响：
- 比如
path=/admin和path=/user各自存一个token，删其中一个不会动另一个 - 设置时用了
path=/admin/（结尾有斜杠），删除时写path=/admin（没斜杠）——这是两个不同路径，删不掉 - 根路径要写
path=/，不是空字符串，也不是path=缺失；很多框架默认 path 是当前路由（如/login），若想全局删除，必须显式指定path=/
其他属性也不能忽略
Secure、HttpOnly、SameSite 这些不是“可选装饰”，而是识别 Cookie 的正式成员：
-
Secure表示该 Cookie 只能通过 HTTPS 传输。当初带Secure写入，删除时没加，浏览器会当成另一个 Cookie 处理 -
HttpOnly影响 JS 是否能读写，但它不参与匹配逻辑，删除时无需传这个参数（JS 本身也读不到它） -
SameSite（如Lax或Strict）在较新浏览器中参与匹配，删除时需保持一致，否则可能失败
怎么验证删对了？
别只看代码有没有报错，要动手查：
- 打开浏览器开发者工具 → Application → Cookies，找到对应域名，逐条核对 name、Path、Domain、Expires（应为过去时间）、Secure 等字段是否与原始设置完全一致
- 刷新页面后，在 Network 请求头中检查
Cookie:字段是否还包含那个键值 - 服务端可通过
document.cookie（客户端）或$_COOKIE（PHP）、request.COOKIES（Django）确认是否已清空
