理解Cookie在HTTP响应中的角色
在Web开发中，Cookie是一种由服务器发送到用户浏览器并保存在本地的小型数据片段。当浏览器再次向同一服务器发起请求时，会自动携带这些Cookie数据。在Node.js环境中，尤其是在使用流行的框架如Express时，设置和读取响应中的Cookie是构建交互式Web应用的基础操作。这涉及到用户会话管理、个性化设置以及跟踪用户状态等多个方面。理解Cookie的工作机制，是进行正确操作的前提。
使用Express框架设置响应Cookie
在Node.js的Express框架中，设置Cookie主要通过`res.cookie()`方法实现。这个方法接受三个主要参数：Cookie的名称（name）、值（value）以及一个可选的配置对象（options）。配置对象允许开发者精细控制Cookie的行为，例如设置过期时间（expires或maxAge）、作用域（domain和path）、安全性（secure和httpOnly）以及同站点策略（sameSite）。一个典型的设置示例如下：`res.cookie('userToken', 'abc123', { maxAge: 900000, httpOnly: true })`。这行代码会在响应头中设置一个名为`userToken`的Cookie，其值为`abc123`，有效期为15分钟，并且只能通过HTTP协议访问，客户端JavaScript无法读取，这有助于防范跨站脚本攻击。
配置Cookie的关键选项与安全实践
正确配置Cookie选项对于应用安全至关重要。`httpOnly`选项设置为`true`可以防止Cookie被客户端JavaScript访问，是缓解XSS攻击的有效手段。`secure`选项应设置为`true`，这要求浏览器只在HTTPS连接下发送此Cookie，确保传输过程加密。`sameSite`属性可以设置为`Strict`、`Lax`或`None`，用于控制Cookie在跨站请求时是否被发送，这对于防御跨站请求伪造攻击非常重要。此外，使用`maxAge`（毫秒数）或`expires`（Date对象）明确设置Cookie的生命周期，避免其成为持久化的会话Cookie，是良好的安全习惯。开发者应根据应用的具体场景，审慎组合这些选项。
从客户端请求中读取Cookie
服务器要读取客户端发来的Cookie，需要解析HTTP请求头中的`Cookie`字段。在原生Node.js中，这需要手动解析`req.headers.cookie`字符串。而在Express框架中，可以借助中间件来简化这一过程。最常用的是`cookie-parser`中间件。通过`npm install cookie-parser`安装后，在应用中引入并使用它：`app.use(require('cookie-parser')())`。此后，所有传入请求中的Cookie都会被解析，并作为一个对象挂载到`req.cookies`上。例如，要读取名为`userToken`的Cookie，只需访问`req.cookies.userToken`即可。这极大方便了服务器端的逻辑处理。
常见问题与调试技巧
在实际开发中，可能会遇到Cookie设置或读取失败的情况。常见原因包括：域名或路径不匹配导致浏览器未发送Cookie；在非HTTPS环境下设置了`secure: true`的Cookie；`sameSite`策略过于严格阻止了跨站请求携带Cookie。调试时，应首先检查浏览器开发者工具中的“应用程序”或“存储”选项卡，查看Cookie是否被成功设置，并核对其域名、路径和标志属性。同时，检查服务器端的响应头，确认`Set-Cookie`头部是否正确发送。在Node.js服务器端，使用控制台输出`req.headers.cookie`或`req.cookies`的内容，可以帮助确认客户端是否按预期发送了Cookie。系统地排查这些环节，能快速定位并解决问题。
