Javascript设置的Cookie能否被服务端脚本访问？二者是否支持互访？

1. JavaScript设置的Cookie能否被PHP读取 #

默认可以，核心前提是Cookie的作用域规则匹配请求路径：

• Cookie本质是存储在客户端的键值对，只要JS设置Cookie时指定的domain、path属性和后续发往PHP的请求域名、路径匹配，浏览器会自动将该Cookie携带在HTTP请求的Cookie头部字段中
• JS设置可被PHP读取的Cookie示例：

  document.cookie = "user_id=12345; domain=yourdomain.com; path=/; max-age=86400";
  

• PHP侧直接通过超全局变量读取即可：$user_id = $_COOKIE['user_id'];
• 没有额外属性会限制服务端读取Cookie，哪怕Cookie设置了HttpOnly、Secure标识，只要符合作用域规则，服务端都能拿到。

2. PHP设置的Cookie能否被JavaScript读取 #

分两种情况，核心取决于Cookie是否开启HttpOnly属性：

• 未开启HttpOnly的Cookie可以被JS读取
  PHP设置示例：

  // 最后一个参数为false代表不开启HttpOnly
  setcookie("user_id", "12345", time() + 86400, "/", "yourdomain.com", false, false);
  

  前端JS直接读取：const userId = document.cookie.split('; ').find(row => row.startsWith('user_id=')).split('=')[1];
• 开启HttpOnly的Cookie完全无法被JS读取，这是浏览器内置的安全机制，专门用于防范XSS攻击窃取敏感凭证（比如会话ID、用户身份令牌等），属于Web安全的通用最佳实践。
• 额外限制：如果Cookie设置了Secure属性，只有HTTPS协议下的页面JS才能读取，HTTP场景下该Cookie对JS完全不可见，也不会被携带在HTTP请求中。

常见坑提醒：跨二级域名场景下，两端设置Cookie时都需要显式指定domain为公共父域名（比如.yourdomain.com），否则Cookie只会在当前设置的子域名下生效，无法跨二级域名互通。

内容的提问来源于stack exchange，提问作者Musicman