通过 JS 清除 cookie 但 PHP 仍然检测到它

Question

我正在通过 JS 设置“SESSION”cookie：

var d = new Date();
d.setTime(d.getTime() + (2*24*60*60*1000));
var expires = "expires="+ d.toUTCString();
document.cookie = cookie.name + "=" + cookie.value +";"+ expires + "; 
path="+cookie.path+";domain="+data.shared_domain+";";

然后我通过 JS 使其过期来删除 cookie：

document.cookie = "SESSION=; expires=Thu, 01 Jan 1971 00:00:01 UTC; path=/;domain="+domain;

完成此操作后，console.log(document.cookie) 将返回除此之外的所有其他 cookie，这是我所期望的。

另一方面，我正在通过 PHP 进行会话检查，尝试通过执行 $_COOKIE["SESSION"] 来读取 cookie。

isset($_COOKIE["SESSION"]) 将返回 true，我可以读取 cookie 的旧值。无论我刷新页面多少次，它仍然会读取它。

我是否误解了 cookie 的工作原理？在 PHP 中是否有其他方法可以检查 cookie 是否已过期？

更新： 是的，问题在于 cookie 有一个 HttpOnly 标志。

所以现在我试图通过 PHP 删除它。基于其他question，我这样做：

setcookie("SESSION", "", time()-3600);
if (isset($_COOKIE['SESSION'])) unset($_COOKIE['SESSION']);

当我完成后，我用一个快速的var_dump($_COOKIE) 检查它是否消失了，是的，它无处可寻。

除了 Chrome 仍然可以看到它（1969 年过期），当我导航到网站的另一部分时，检查该 cookie 将返回一个值。

我将添加一条额外的信息，以防有所不同：此 cookie 由 sub.domain.com 和 app.sub.domain.com 共享。当我设置它时，我将它设置为 .domain.com。我也为 .domain.com 取消了设置。

我怎样才能永远摆脱那个 cookie？

Answer 1

首先不清楚您是如何创建 cookie 的；我假设使用 PHP 的会话处理程序，但您没有指定。

无论哪种方式，它都可能是使用 cookie 安全设置生成的，这些设置限制了从 JavaScript 对其的访问。此设置称为httpOnly，通常用于会话 cookie 和其他仅供服务器端代码使用的类似 cookie 数据。

如果已设置此 cookie 设置（并且任何好的会话处理程序都会设置它），那么您将无法从浏览器设置或取消设置此 cookie；您必须从您的 PHP 代码中完成。

有关此主题的更多信息，请参阅此维基百科文章：https://en.wikipedia.org/wiki/Secure_cookie