浏览网页时，你有没有遇到过这样的场景：刚在购物网站看了几双运动鞋，打开其他网站就全是同款广告；或者明明没登录，网站却记得你的购物车里有三样东西。这种 " 被记住 " 的感觉，背后正是 Cookie 在默默工作。
它到底是什么？
Cookie 本质上是一小段文本文件，由网站服务器生成，通过浏览器存储在你的设备本地。1994 年，网景公司的程序员 Lou Montulli 为了解决电商网站的购物车状态保持问题，创造了这项技术。它的设计初衷很简单——让无状态的 HTTP 协议能够 " 记住 " 用户。
一个标准的 Cookie 包含若干关键属性：name（名称）、value（值）、domain（所属域名）、path（有效路径）、expires（过期时间），以及几个安全相关的标记。比如原文中出现的 c_user、xs、fr、datr 这些字段，就是 Facebook 用于识别用户身份、维护登录状态、追踪广告转化的不同功能模块。
第一方与第三方的分野
Cookie 按来源可分为两类。第一方 Cookie 由你正在访问的网站直接设置，用于记住你的语言偏好、登录凭证、购物车内容——这些是服务正常运转的基础。第三方 Cookie 则来自页面中嵌入的其他域资源，比如广告联盟、社交分享按钮、数据分析工具。它们像数字世界的 " 跟踪器 "，记录你在不同站点间的行为轨迹，构建用户画像。
2017 年，苹果 Safari 率先默认阻止第三方 Cookie；2024 年，谷歌 Chrome 在欧盟地区也开始逐步淘汰这项技术。这背后是隐私保护与商业利益之间的持续博弈——据 Statista 数据，2023 年全球数字广告支出超过 6000 亿美元，其中相当比例依赖精准定向。
那些看不见的安全机制
现代浏览器为 Cookie 设置了多重防护。HttpOnly标记阻止 JavaScript 读取 Cookie，防范 XSS 攻击窃取会话凭证；Secure要求只能通过 HTTPS 传输，防止中间人截获；SameSite则控制跨站请求时是否携带 Cookie，mitigating CSRF 风险。原文中 httponly: true 的配置，正是这些安全实践的体现。
不过技术防护总有边界。2022 年某安全厂商的研究显示，超过 30% 的网站仍存在 Cookie 属性配置不当的问题——要么过期时间设置过长，要么敏感令牌缺乏加密。攻击者一旦获取有效的会话 Cookie，就能以你的身份畅通无阻，这就是 "Cookie 劫持 " 攻击的核心逻辑。
用户端的掌控权
你并非完全被动。浏览器设置里可以按站点管理 Cookie，定期清理或完全禁用；隐私模式（无痕窗口）则会在关闭标签页后自动清除会话 Cookie。一些扩展工具能可视化展示每个网站设置了哪些 Cookie，甚至精确拦截特定类型的跟踪器。
说到底，Cookie 是互联网基础设施的双刃剑。它让个性化服务成为可能，也让隐私边界变得模糊。下次点击 " 同意使用 Cookie" 时，至少你知道自己同意的究竟是什么。
