java中cookie有效期统一通过setmaxage(int)方法控制，正数表示秒级持久化存储，负数（如-1）为会话级内存cookie，0则立即删除。
Java 中 Cookie 的有效期控制统一通过 setMaxAge(int) 方法实现，这是 Servlet 规范定义的标准方式，与 Java 版本（包括 Java 17）无关——只要使用的是标准的 javax.servlet.http.Cookie（或 Jakarta EE 9+ 的 jakarta.servlet.http.Cookie），该方法就是唯一、直接、语义明确的过期时间设置入口。
为什么必须用 setMaxAge？
因为 Cookie 本身不维护“创建时间”或“到期时间戳”，浏览器只依据服务端明确声明的生命周期策略来管理其存续。setMaxAge 是唯一能向 HTTP 响应头注入 Max-Age=xxx（现代标准）或回退生成兼容的 Expires=xxx（旧浏览器）的机制。没有其他方法可替代它完成有效期设定。
setMaxAge 参数的三种取值含义
-
正整数（如 3600）：表示从浏览器接收到该 Cookie 起，精确存活多少秒。例如
cookie.setMaxAge(3600)→ 1 小时后自动删除，且持久化到硬盘，重启浏览器仍有效。 - 负数（最常见为 -1）：表示会话级 Cookie，仅驻留在浏览器内存中，关闭当前浏览器窗口/标签页即失效（注意：不是所有浏览器对“关闭标签页”行为一致，但关闭整个浏览器进程一定清除）。
- 零（0）：强制立即过期，等效于通知浏览器“这个 Cookie 已作废”，浏览器会立刻从存储中移除同名 Cookie（常用于登出时清除登录态）。
Java 17 下的注意事项
Java 17 本身不改变 Cookie 行为，但项目若已迁移到 Jakarta EE 9+（如 Tomcat 10+、Jetty 11+），需注意包名变更：
– 老版本用 javax.servlet.http.Cookie
– 新版本用 jakarta.servlet.http.Cookie
两者 API 完全一致，setMaxAge 方法签名和语义完全不变，无需修改逻辑。
配合使用的常见配置
单设 setMaxAge 不够安全或实用，通常还需组合以下设置：
- setPath("/")：确保 Cookie 在整个站点路径下都可被发送（默认是设置时请求路径，易导致子路径不可见）；
- setHttpOnly(true)：防止 XSS 读取敏感 Cookie（如 session ID）；
- setSecure(true)：强制仅通过 HTTPS 传输（生产环境必须启用）；
- setDomain(".example.com")：跨子域共享时指定主域（注意开头带点）。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
