隐私模式下所有 cookie 均为会话级，无视 expires/max-age 设置，关闭窗口即全部清除；不继承主窗口 cookie，白名单与手动修改均无效，每次新开窗口需重新登录和授权。
隐私模式（如 Chrome 的无痕窗口、Edge 的 InPrivate）下，Cookie 的有效期表现与常规模式有本质区别：所有 Cookie 都被设为会话期 Cookie，无论服务端是否设置了 Expires 或 Max-Age。
隐私模式强制限制 Cookie 生命周期
浏览器在隐私模式启动时，会启用独立的、临时的 Cookie 存储区。该区域不继承主窗口的任何已有 Cookie，且所有新写入的 Cookie 均按“会话级”处理：
- 即使响应头中明确设置了
Set-Cookie: sessionid=abc; Expires=Fri, 01 Jan 2030 00:00:00 GMT，该过期时间在隐私模式中被忽略； - Cookie 仅保留在当前隐私窗口及其中所有标签页内；
- 一旦关闭最后一个隐私窗口，全部 Cookie（包括登录态、偏好设置、CSRF token 等）立即被清除，不留痕迹。
不会触发持久化行为的典型场景
以下操作在隐私模式中均无法让 Cookie “存活”到下次打开：
- 勾选“记住我”或“保持登录”复选框；
- 手动在开发者工具 Application → Cookies 中修改
Expires字段； - 通过 JavaScript 调用
document.cookie显式设置带过期时间的 Cookie； - 访问已添加至 Edge 白名单的域名（
edge://settings/cookies中的“允许”列表对隐私模式无效）。
对用户和开发者的实际影响
这种设计保障了隐私隔离，但也带来可预期的行为变化：
- 每次新开隐私窗口都相当于一个全新用户，需重新登录、重新授权、重新同意 Cookie 提示；
- 网站若依赖持久 Cookie 做功能判断（如灰度开关、A/B 实验分组），在隐私模式下会始终回退到默认分支；
- 前端调试时，若在隐私模式下测试登录流程，不能假设 Token 会跨窗口保留，需全程模拟会话生命周期。
隐私模式不是“禁用 Cookie”，而是重置其生命周期语义——它把一切 Cookie 拉回到最基础的会话模型，不复杂但容易忽略。
