javascript无法直接设置跨主域cookie，仅能通过document.cookie在同域或父域（如sub.example.com设domain=.example.com）写入，且expires需为gmt字符串、domain须以点开头并匹配当前主机。
JavaScript 本身无法直接设置 Cookie 的 Domain 或精确控制过期时间（如指定 GMT 时间），因为 document.cookie 只支持写入键值对和部分属性，且浏览器出于安全限制，**禁止前端 JavaScript 设置跨主域（如从 a.com 写入 b.com）的 Cookie**。真正能可靠设置 Domain 和过期时间的，是后端 HTTP 响应头 Set-Cookie。
前端 document.cookie 能设什么？
通过 document.cookie = "key=value; expires=Wed, 01 Jan 2026 00:00:00 GMT; path=/; domain=.example.com" 可尝试设置，但有严格限制：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
-
domain 必须与当前页面同域或其父域：若当前页是
sub.example.com，可设domain=.example.com；但若当前页是example.com，则不能设domain=.com（顶级域禁止） -
domain 值必须以点开头（.example.com）才表示“包含所有子域”，且需与当前主机匹配（如
api.example.com允许设.example.com，但example.net不允许） - expires/max-age 必须是合法 GMT 字符串或秒数，否则 Cookie 变为会话级（关闭浏览器即失效）
- Secure 属性要求页面必须在 HTTPS 下才能生效
-
SameSite 属性不可省略默认行为：现代浏览器默认为
Lax，若需跨站发送（如 iframe 场景），需显式设SameSite=None; Secure
真正实现跨子域共享的推荐方式
让后端统一设置 Cookie，并确保所有子域共用同一根域名（如 example.com），前端只需按规范读写：
- 后端响应中返回：
Set-Cookie: token=abc123; Domain=.example.com; Path=/; Expires=Wed, 01 Jan 2026 00:00:00 GMT; HttpOnly; Secure; SameSite=None - 前端页面在
app.example.com、api.example.com、www.example.com下均可通过document.cookie读取该 Cookie（前提是没设HttpOnly；若设了，JS 就读不到，只能由后端携带） - 注意：若后端未设
Domain，浏览器默认只绑定当前完整主机名（如app.example.com），不会被api.example.com访问到
常见失败原因与检查项
- 前端写的
domain=.example.com但当前页面是localhost或127.0.0.1→ 浏览器拒绝，Domain属性不适用于 localhost - 后端设了
Domain=example.com（缺前面的点）→ 失效，必须是.example.com - HTTPS 页面尝试设
SecureCookie，但后端响应走 HTTP → Cookie 被丢弃 - Chrome 80+ 强制
SameSite=Lax默认策略，跨站请求（如 iframe 中加载子域页面）不带 Cookie → 需后端明确设SameSite=None; Secure - 多个子域间 Cookie 共享成功，但前端 JS 读不到 → 检查是否后端加了
HttpOnly（这是正确做法，安全性所需；读取应由后端 API 统一处理）
替代方案：避免依赖 Cookie 跨域
若跨主域（非父子域）需共享状态，Cookie 不适用，应改用更现代、可控的方式：
- Token + 后端代理：前端获取 JWT 等 token，通过同域后端接口转发请求，由后端注入认证凭证
-
PostMessage + iframe：在可信子域页面嵌入 iframe，用
window.postMessage安全传递登录态或 token - OAuth 2.0 / OpenID Connect：由统一认证中心（如 Auth0、Keycloak）发放 token，各业务域自行校验
-
localStorage + 共享 iframe：利用
document.domain = 'example.com'（仅限旧版 IE/特定场景，已不推荐）
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
