javascript 设置 cookie 的 domain 属性需以点开头（如 .example.com）且为当前域名父域，不可为公共后缀；必须同注册域、启用 secure 和 samesite，并设 path=/ 才能跨子域共享。
在 JavaScript 中设置 Cookie 的 Domain 属性，可以让顶级域名（如 example.com）及其子域名（如 www.example.com、api.example.com）共享同一个 Cookie。关键在于正确指定 Domain 值，并注意浏览器的安全限制。
Domain 属性的写法规则
Cookie 的 Domain 必须是当前页面域名的父域，且必须以点开头（如 .example.com），表示“该域名及所有子域名”。但不能设为公共后缀（如 .com、.co.uk），否则浏览器会拒绝存储。
- ✅ 正确：当前页是
www.example.com，设Domain=.example.com - ✅ 正确：当前页是
shop.example.com，设Domain=.example.com - ❌ 错误：设
Domain=com或Domain=.com - ❌ 错误：设
Domain=example.com（不带点前缀 → 仅限精确匹配，不继承到子域）
用 document.cookie 设置带 Domain 的 Cookie
JavaScript 通过 document.cookie 设置 Cookie 时，需手动拼接字符串，Domain 是其中的一个键值对：
document.cookie = "token=abc123; Domain=.example.com; Path=/; Expires=Wed, 01 Jan 2026 00:00:00 GMT; Secure; SameSite=Lax";
注意：Domain 值必须与当前页面同属一个注册域（registrable domain）。例如，从 sub.test.example.com 设置 Domain=.example.com 是允许的；但从 example.net 设置则会被浏览器忽略。
你接手一个需求时，是不是经常这样："改一个小字段 → 结果把不相关的代码也改了"、"需求说得很模糊 → 做着做着发现跑偏了"、"数据库加个字段 → 上线才发现漏了数据兼容"、"做了个新功能 → 一个月后自己都忘了当时怎么设计的"、"写到一半被中断 → 再回来不知道从哪继续"；这个 Skill 就是专门解决这些问题的。 它会自动探测你的项目环境（JDK、Spring Boot、ORM、数据库、前端框架），记在
Secure 和 SameSite 的配套建议
当跨子域共享 Cookie 时，安全风险上升，推荐同步启用以下属性：
- Secure：确保 Cookie 只通过 HTTPS 传输（生产环境必须加）
- SameSite=Lax（或 Strict）：防止 CSRF，同时保留大部分正常跳转场景下的 Cookie 发送能力
- Path=/：显式设为根路径，避免因路径不同导致子域读不到
验证是否生效的小技巧
设置后，可在不同子域下检查：
- 打开浏览器开发者工具 → Application → Cookies，看对应域名下是否有该 Cookie
- 在
www.example.com设置后，访问api.example.com并执行console.log(document.cookie)，确认能否读到token=... - 若读不到，检查控制台是否有 “Cookie X has been rejected” 类型的警告 —— 多半是 Domain 格式错误或跨了不同注册域
不复杂但容易忽略：Domain 前的点、HTTPS 环境、以及注册域一致性，三者缺一不可。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
