Safari 不强制第一方 Cookie 为 7 天有效期，该现象主因是网站自身设置或受智能跟踪防护（ITP）干预：未设过期时间则为会话级；若设长有效期但被 ITP 判定有跟踪嫌疑（如无交互预设、跨站重定向写入），则自动截断至 7 天甚至 24 小时。

Safari 浏览器本身并不强制将第一方 Cookie 设为 7 天有效期。这个“7 天”现象不是 Safari 的默认策略，而是由网站自身设置的 Max-Age 或 Expires 属性决定的，或者更常见的是——受 Safari 智能跟踪防护（ITP）机制的间接限制。

下面分两种情况说明：

Safari 对第一方 Cookie 的基本规则

• 如果网站通过 Set-Cookie 响应头明确设置了 max-age=604800（即 7 天）或 expires 为 7 天后的 GMT 时间，那 Cookie 就会按此过期，和浏览器无关。
• 若未设置任何过期时间，该 Cookie 是会话级 Cookie：只在当前 Safari 标签页/窗口生命周期内有效，关闭后即删除。
• 若设置了较长有效期（如 30 天），Safari 原则上会尊重该设置——前提是它被识别为“第一方”且无跟踪嫌疑。

真正导致“看似只有 7 天”的原因：ITP（智能跟踪防护）

从 ITP 2.1 开始，Safari 对存储时长做了主动干预，尤其针对以下两类行为：

page-agent 浏览器控制（CDP）

使用 page-agent CLI（CDP）控制浏览器；CLI只能通过 GitHub Release 的 .tgz 安装，npm 官方包暂未发布。

下载

• 跨站点资源加载后写入的第一方 Cookie
  例如：你从 news.com 点击链接跳转到 shop.com，shop.com 在页面中嵌入了 analytics.net 的脚本，该脚本又重定向回 shop.com 并设 Cookie —— Safari 可能判定该 Cookie 有跟踪意图，将其 max-age 自动截断为 7 天（ITP 2.2+ 后进一步缩短至 24 小时或完全降级为会话 Cookie）。

• 未发生用户交互（如点击、滚动、输入）前写入的 Cookie
  Safari 认为这类 Cookie 缺乏明确用户意图，可能用于静默跟踪，因此会限制其有效期，常见上限就是 7 天，甚至更短。

如何判断是不是 ITP 导致的？

• 打开 Safari 开发者工具（需在「Safari 设置 → 高级 → 勾选“在菜单栏中显示‘开发’菜单”」）
• 访问网站 → 「开发 → 显示 JavaScript 控制台」→ 切换到「网络」标签
• 查看某次响应的 Set-Cookie 头，对比服务器设置的 max-age 和实际浏览器中 Application → Cookies 里显示的过期时间
• 若后者明显短于前者（比如服务端设了 30 天，但浏览器里显示“7 天后过期”），大概率是 ITP 生效

网站开发者可做的调整

• 确保 Cookie 在用户真实交互后再设置（如点击登录按钮之后）
• 使用 SameSite=Lax 或 Strict，避免被误判为第三方上下文
• 避免通过重定向链、iframe、 加载等方式“悄悄”写 Cookie
• 关键状态（如登录态）优先用服务端 Session + HttpOnly Cookie，辅以短期刷新机制

Safari 的设计目标不是限制功能，而是限制隐蔽跟踪。只要 Cookie 行为透明、必要、由用户动作触发，通常能获得更长的有效期。