Chrome扩展设置__Host等双下划线前缀Cookie失败的原因排查

核心问题：双下划线前缀Cookie的强制安全规范 #

Chrome严格执行RFC 6265bis定义的Cookie前缀规则，__Host-、__Secure-这类带双下划线的安全前缀Cookie有强制设置条件，不满足则直接报错。而__utma这类双下划线开头的Cookie属于第三方服务（如Google Analytics）的专属标识，Chrome的安全策略会限制扩展随意设置。

1. __Host-前缀的强制要求 #

要成功设置__Host-开头的Cookie，必须同时满足：

• 必须设置secure: true：这类Cookie仅允许通过HTTPS传输
• 不能设置domain属性：必须绑定到请求的精确域名（禁止使用.google.com这类通配符域名）
• 必须设置path: "/"：你的代码中这一点符合要求

2. __Secure-前缀的强制要求 #

如果是__Secure-开头的Cookie，仅需满足：

• 必须设置secure: true，对domain和path的限制比__Host-宽松，但仍需HTTPS环境

3. 扩展设置双下划线Cookie的额外限制 #

• 非标准安全前缀的双下划线Cookie（如__utma）属于特定服务的自有标识，Chrome的安全机制会阻止扩展随意篡改，这类Cookie通常只能由对应第三方服务在用户访问页面时自行设置
• 即使是标准前缀的Cookie，只要不满足上述规范，就会直接返回Failed to parse or set cookie错误

修正后的代码示例 #

以下是符合规范的__Host-前缀Cookie设置代码：

chrome.cookies.set({
  "url": "https://google.com", // 使用精确域名，避免通配符
  "name": "__Host-1PLSID",
  "value": "s.IN|s.youtube:JAhqi_myqzIlEExBcYSrKg9DiCjl6XLANupheaB_cCsAO_SgGlCGlX7zCkQPDCf0A.",
  "path": "/",
  // 移除domain属性，依赖url指定的精确域名
  "expirationDate": 1830365600, // 注意：需传入Unix时间戳（秒），原代码的毫秒值会导致过期时间异常
  "secure": true, // 必须设为true
  "httpOnly": false
}, function (cookie) {
  console.log(JSON.stringify(cookie));
  console.log(chrome.runtime.lastError);
});

关键注意点 #

• expirationDate参数要求传入Unix时间戳（秒），原代码中的毫秒值会导致Cookie过期时间远超预期甚至无效
• 若尝试设置__utma这类非标准前缀的双下划线Cookie，Chrome会直接拦截，扩展无法干预这类第三方服务专属Cookie的设置

内容的提问来源于stack exchange，提问作者user1935987