如何从父域example.com为特定子域abc.example.com设置Cookie？

完全没问题，你可以从父域example.com为特定子域abc.example.com设置仅该子域可访问的Cookie，不会被其他子域（比如def.example.com）读取到。下面是具体的实现方式和关键要点：

核心设置方法 #

不管是通过后端HTTP响应头还是前端JavaScript，只要明确指定Cookie的Domain属性为abc.example.com即可：

1. 后端HTTP响应头方式（推荐，支持所有安全属性） #

在example.com的服务端返回的HTTP响应中添加Set-Cookie头：

Set-Cookie: user_session=abc123; Domain=abc.example.com; Path=/; HttpOnly; Secure; SameSite=Strict

2. 前端JavaScript方式（注意限制） #

如果需要在example.com的页面中通过JS设置，代码如下（注意HttpOnly属性无法通过JS设置，且Secure需要在HTTPS环境下生效）：

document.cookie = "preference=dark; domain=abc.example.com; path=/; secure; SameSite=Strict";

关键注意事项 #

• 不要使用通配符Domain：绝对不能写成Domain=.example.com，否则所有子域都能访问这个Cookie，这正是你要避免的。明确指定abc.example.com才能限制仅该子域可用。
• Path属性的作用：设置为/表示整个abc.example.com域下的所有路径都能访问该Cookie，如果你想限制到特定路径（比如/dashboard），可以改成Path=/dashboard。
• 安全属性建议：
  • HttpOnly：防止Cookie被XSS攻击窃取，只能通过HTTP请求传递，无法被JS读取。
  • Secure：确保Cookie仅在HTTPS连接中传输，避免明文泄露。
  • SameSite：限制Cookie的跨站发送，有效防范CSRF攻击，推荐设为Strict或Lax。

原理说明 #

根据Cookie规范，父域（example.com）有权为其子域（abc.example.com）设置Cookie，只要指定的Domain是当前域的子域即可。当浏览器接收到这个Cookie后，只会在向abc.example.com及其更深层级的子域（比如x.abc.example.com）发送请求时携带它，其他子域完全看不到这个Cookie。

内容的提问来源于stack exchange，提问作者Shareef