设置Max-Age=0和Expire=session的Cookie为何在HTTP重定向后仍存在？

重定向流程里的Cookie处理时机问题 #

当server1返回Set-Cookie: mycookie=myvalue;Max-Age=0;Expire=session时，按规范客户端确实应该立即删除该Cookie，但这里的关键在于客户端处理Set-Cookie的时机和重定向请求的发送顺序：

• 客户端收到server1的重定向响应后，会先解析Set-Cookie指令，但部分浏览器会优先发起对server2的重定向请求，而Cookie的删除操作是异步执行的——这就导致在发送server2请求时，旧Cookie还没被清理。
• 当server2重定向回server1时，整个重定向链是连续的，客户端没有触发Cookie的检查与删除逻辑，所以请求里依然带着未被删除的mycookie=myvalue。

你的规则理解没错，错在执行时机 #

你关于Max-Age=0优先级高于Expire=session的判断是完全正确的，HTTP规范明确规定当两个属性同时存在时，Max-Age的优先级更高。问题不在规则理解，而在客户端的执行逻辑：

• 多数浏览器在处理连续重定向时，会把请求发送放在优先位置，Cookie的更新/删除会延后到当前响应处理完成后执行。这就造成了重定向链中Cookie还没被删除的假象。
• 等整个重定向流程结束，你再向server1发起新请求时，该Cookie就会被正确删除，不会再出现在请求头里。

快速验证方式 #

可以做个简单测试：在server2重定向回server1后，手动刷新页面，此时查看请求头就会发现mycookie=myvalue已经消失了——这说明客户端最终还是执行了删除指令，只是在连续重定向的过程中延迟了。

内容的提问来源于stack exchange，提问作者armaka