给Cookie设置Path，可以影响浏览器在哪些请求路径中发送它，但这不是同一网站不同应用之间的安全隔离方案。不要仅凭两个应用放在不同目录，就认为会话边界已经可靠。
先理解路径匹配用途
例如Path=/docs可匹配/docs及其下的相应路径。它主要帮助浏览器选择请求中携带哪些Cookie，并不证明另一路径的代码无法影响或读取相关信息。MDN明确指出Path不是安全控制。
发送范围与权限判断分开
服务端仍应验证会话和对象权限，Cookie属性也应根据用途正确配置。若两个应用的信任程度不同，应评估实际部署与来源隔离，而不是把路径命名当成访问控制规则。
验收查看真实请求
在自有测试环境用无敏感含义的Cookie，比较匹配与不匹配路径上的请求头，再独立测试服务端权限。不要通过记录真实会话值演示。本文没有修改本站Cookie或接触用户会话。
资料与继续学习
MDN：Set-Cookie的Path属性。资料查阅日期：2026年10月13日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年10月13日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
