关键词：
HTTP Cookie |
子域名共享 |
跨域认证 |
domain属性 |
RFC 6265
摘要：本文深入探讨了HTTP Cookie在子域名与主域名之间的共享机制，详细分析了domain属性的设置规则及其对Cookie可见性的影响。通过对比RFC 2109与RFC 6265规范的变化，解释了现代浏览器中Cookie共享的实现原理，并结合实际代码示例展示了正确的配置方法。文章还讨论了跨域资源共享(CORS)的相关注意事项，为开发者提供完整的技术解决方案。
Cookie共享机制的基本原理
在Web开发中，Cookie是实现状态管理的重要机制。当涉及到跨子域名的Cookie共享时，理解其工作原理至关重要。根据HTTP规范，Cookie的共享范围主要由domain属性决定。如果仅设置Cookie值而不指定domain属性，浏览器会将其视为"host-only" cookie，仅对设置该Cookie的具体域名有效。
domain属性的作用机制
要实现跨子域名的Cookie共享，必须在设置Cookie时明确指定domain属性。例如：
Set-Cookie: name=value; domain=example.com
这种设置方式使得Cookie对example.com及其所有子域名（包括subdomain.example.com、www.example.com等）都可见。关键在于domain属性必须与请求URL的域名匹配，或者是指定域名的父级域名。
子域名与主域名的双向访问
针对原始问题中的两个具体场景：
当Cookie在example.com设置且指定了domain=example.com时，subdomain.example.com可以访问该Cookie。这是因为subdomain.example.com是example.com的子域名，符合domain匹配规则。
同样地，如果Cookie在subdomain.example.com设置且指定了domain=example.com，那么example.com也可以访问该Cookie。这种双向访问能力为构建跨子域名的统一认证系统提供了技术基础。
规范演进与浏览器实现
早期的RFC 2109规范要求使用前导点符号（如domain=.example.com）来实现跨子域名共享，但这种设置无法与顶级域名共享Cookie。现代规范RFC 6265已经忽略前导点，浏览器会自动处理domain属性的解析，使得Cookie可以在指定域名及其所有子域名间共享。
实际开发中的注意事项
在本地开发环境中测试Cookie共享时，需要注意域名结构的要求。有效的域名必须包含至少两个部分，例如mydomain.localhost。可以通过修改hosts文件将自定义域名映射到本地地址：
127.0.0.1 rootdomain.com
然后通过不同端口访问不同子域名的应用，如rootdomain.com:8000和rootdomain.com:8080。
安全与范围限制
除了domain属性外，其他Cookie属性也会影响其共享范围：
path属性限制Cookie在特定路径下的可见性
Secure属性要求仅通过HTTPS传输Cookie
HttpOnly属性防止客户端JavaScript访问Cookie
SameSite属性控制跨站请求时Cookie的发送行为
跨域资源共享(CORS)的配合
当需要在不同子域名间进行AJAX请求时，除了正确设置Cookie的domain属性外，还需要配置CORS头部。在开发阶段可以暂时设置Access-Control-Allow-Origin: *，但在生产环境中应明确指定允许的源域名。
代码实现示例
以下是在不同编程环境中设置共享Cookie的示例：
在Node.js/Express中：
res.cookie('session', 'value', {
domain: '.example.com',
maxAge: 24 * 60 * 60 * 1000, // 24小时
httpOnly: true,
secure: process.env.NODE_ENV === 'production'
});
在PHP中：
setcookie('session', 'value', [
'expires' => time() + 86400,
'path' => '/',
'domain' => '.example.com',
'secure' => true,
'httponly' => true,
'samesite' => 'Lax'
]);
在Python Flask中：
from flask import make_response
resp = make_response('Setting cookie')
resp.set_cookie('session', 'value',
domain='.example.com',
max_age=86400,
secure=True,
httponly=True,
samesite='Lax')
常见问题与解决方案
开发者在实现跨子域名Cookie共享时常遇到以下问题：
Cookie不共享：检查domain属性是否正确设置，确保没有遗漏前导点（现代规范中可选，但明确设置有助于代码清晰）。
安全策略限制：现代浏览器的安全策略可能限制第三方Cookie，确保应用遵循最佳安全实践。
本地测试困难：使用有效的本地域名结构，避免使用单一的localhost，而是使用类似app.localhost的结构。
最佳实践建议
基于实际项目经验，推荐以下最佳实践：
明确设置domain属性，即使现代浏览器会自动处理
在生产环境中使用HTTPS并设置Secure标志
合理设置SameSite属性以平衡安全性与功能性
定期测试Cookie在不同子域名间的共享状态
考虑使用专门的会话管理服务处理复杂的跨域场景
通过深入理解Cookie的共享机制和正确配置相关参数，开发者可以构建出既安全又功能完善的跨子域名应用系统。