根域与子域Cookie互认及遗留站点Cookie兼容技术咨询

嘿，我来帮你理清这两个问题，都是域名身份认证和Cookie跨域场景里的常见需求，直接给你干货：

• 根域名认证后，子域的可用性：
  如果你在根域名（比如example.com）完成了身份认证，那包括www.example.com在内的所有同级子域（比如classic.example.com）都能正常使用这个认证状态。原因是正规的认证系统会把认证凭据（比如Session Cookie）的Domain属性设置为.example.com（带前缀点），这就相当于给整个根域下的所有子域开了“共享权限”。
• 子域（如www）认证后，根域名及其他子域的可用性：
  反过来，如果只在www.example.com完成认证，默认情况下根域名example.com和其他子域（比如classic.example.com）都没法用这个认证状态。因为此时认证凭据的Domain属性一般会被限定为www.example.com，只有这个子域能读取，其他域名/子域都拿不到。

1. 查看Cookie的哪些信息判断可用性？ #

打开Chrome的开发者工具（按F12，切换到「Application」标签，找到「Cookies」→ 当前认证的域名，比如www.example.com），重点看这几个字段：

• Domain：最核心的判断依据。如果值是.example.com或者example.com，这个Cookie就能被所有子域（包括classic.example.com）识别；如果是www.example.com，那它只能在www子域生效，classic子域读不到。
• Path：如果设置为/，说明整个域名下的所有路径都能访问这个Cookie；如果是特定路径（比如/user），那只有对应路径下的页面才能用。
• Expires/Max-Age：确认Cookie是否在有效期内，过期的话直接失效。
• Secure：如果这个属性被勾选，Cookie只能通过HTTPS传输；要是你的classic.example.com用的是HTTP，这个Cookie不会被发送到服务器。
• HttpOnly：这个属性只是禁止前端JavaScript读取Cookie，但不影响服务器端获取，只要其他条件满足，服务器依然能识别这个Cookie。

2. 若在www.example.com认证后，如何让Cookie在classic.example.com生效？ #

如果现有Cookie的Domain不是.example.com，你需要调整认证系统的Cookie配置：

• 在设置Cookie时，把Domain属性明确设为.example.com（不同技术栈写法不同，比如Java Spring里是cookie.setDomain(".example.com")，Node.js Express里是res.cookie("authToken", value, { domain: ".example.com", path: "/" })）。
• 确保Path设置为/，覆盖整个域名下的所有路径。
• 同步Secure、HttpOnly等属性，保证classic.example.com的访问环境和www.example.com一致（比如都用HTTPS）。

调整后，用户在www.example.com认证生成的Cookie就能被classic.example.com读取，不用强制重新登录。

内容的提问来源于stack exchange，提问作者Blankman