Cookie / Set-Cookie 头构建器
构建浏览器会接受的 `Set-Cookie` 头，按规范推荐的顺序，每个属性正确命名（PascalCase，无尾分号）。预设覆盖你 90% 时间会写的四种形式：短寿命会话 cookie、较长的 'remember me'、第三方嵌入 cookie（SameSite=None + Secure + Partitioned），以及严格 CSRF 令牌。工具还警告最常咬人的陷阱 —— 没 Secure 的 SameSite=None、Domain 前导点，以及你需要从 JavaScript 访问的 cookie 上的 HttpOnly。
—
预设
Set-Cookie 头
Set-Cookie: session=abc123; Path=/; SameSite=Lax; Secure; HttpOnly
在响应中发出。浏览器存储 cookie；对匹配 domain+path 的下次请求自动发送 `Cookie: name=value`。
使用方法
- 从最接近你用例的预设开始，从那里调整。
- 对于新的 CSRF 令牌，选择严格预设 —— SameSite=Strict 防止跨源请求携带它。
- 第三方嵌入今天要落地 Chromium 浏览器需要 SameSite=None + Secure + Partitioned。
常见问题
- 为什么 SameSite=None 需要 Secure？
- Chromium 拒绝没有 Secure 的 SameSite=None cookie —— 这是 cookie 规范强制第三方 cookie 仅在 HTTPS 上的方式，那里网络攻击者无法嗅探。
- Partitioned 属性是什么？
- Partitioned（CHIPS）告诉浏览器按顶级站点限定第三方 cookie。没有它，Chrome 的第三方 cookie 阶段性禁用会完全阻止 cookie；有了它，你的嵌入仍可工作但每个父站点看到自己的罐子。
相关工具
HTTP Cookie 解析器
粘贴 `Cookie:` 请求头或 `Set-Cookie:` 响应头，查看每个 cookie 的名称、值、属性和警告。
开发 0 0
HTTP 头部参考
约 50 个标准 HTTP 请求、响应、CORS、缓存、安全、Cookie 头部的可搜索参考。
开发 0 0
Cache-Control 头构建器
通过可视化清单构建 HTTP Cache-Control 头 — 新鲜度、再验证、不可变性以及常用预设。
网络 0 0
HSTS 头构建器
构建 Strict-Transport-Security 头 — max-age、includeSubDomains、preload — 并实时检查 preload 列表资格。
网络 0 0
Permissions-Policy 头构建器
构建 `Permissions-Policy` 响应头 —— 按源允许列表切换摄像头、麦克风、地理位置、支付、全屏和 20+ 其他浏览器功能。
网络 0 0
Referrer-Policy 头构建器
选择 Referrer-Policy 值，查看出站请求会发送什么 `Referer` 头 —— 同源、跨源 HTTPS、HTTPS→HTTP 降级。
网络 0 0