Cookie是浏览器存储会话信息的经典手段，登录状态、用户偏好等数据经常依赖它来维持。当一个网站存在多个二级域名时，例如 www.ipipp.com、user.ipipp.com 和 order.ipipp.com，如果每个子域名各自维护一套登录Cookie，用户在主站登录后跳转到子站会立刻变成未登录状态，体验非常糟糕。要解决这个问题，核心思路是让Cookie的作用域覆盖整个主域名，而jQuery Cookie插件提供的domain参数正是为此而设计的。
为什么默认情况下Cookie无法跨二级域名共享
先看一个典型的错误写法。假设用户在 user.ipipp.com 登录成功后，前端通过如下代码写入登录凭证：
// 未配置domain的写法
$.cookie('token', 'abc123', { expires: 7, path: '/' });这段代码执行后，Cookie的作用域默认被限定在当前域名 user.ipipp.com 下。浏览器在后续请求中，只有在访问 user.ipipp.com 及其下级路径时才会携带这个Cookie。当用户跳转到 order.ipipp.com 时，浏览器发现目标域名与Cookie的存储域名不匹配，自然不会发送这个Cookie，服务端也就无从判断用户的登录身份。
这个行为的本质是浏览器同源策略在Cookie层面的一种宽松实现。虽然Cookie的隔离规则不像脚本同源策略那么严格，允许通过domain属性实现父子域名之间的共享，但前提是你必须显式声明。默认不写domain时，浏览器会把Cookie绑定在完整的当前域名上，也就是精确到子域名级别，这就导致了各个二级域名之间互相不可见。
还有一个容易混淆的点：path参数和domain参数解决的是两个不同维度的问题。path控制的是同一域名下哪些路径可以访问Cookie，而domain控制的是哪些域名可以访问Cookie。只设置 path: '/'' 并不能让Cookie跨子域名生效，两者必须配合使用。
使用domain参数的正确配置方法
要让Cookie在所有二级域名之间共享，写入时必须把domain设置为主域名。注意域名前面要带一个点，这是关键细节。正确的写法如下：
// 在任意一个二级域名下执行，例如 user.ipipp.com
$.cookie('token', 'abc123', {
expires: 7, // 有效期7天
path: '/', // 全路径可用
domain: '.ipipp.com' // 作用域为主域名，所有二级域名共享
});配置了 domain: '.ipipp.com' 之后，浏览器会将这个Cookie的匹配范围扩展到 ipipp.com 以及它的所有子域名。无论用户当前处于 www.ipipp.com 还是 order.ipipp.com，读取这个Cookie都能成功：
// 在 order.ipipp.com 页面中读取
var token = $.cookie('token');
if (token) {
console.log('用户已登录，凭证为：' + token);
} else {
// 跳转到登录页
}关于前面的那个点，需要补充说明。在较早的RFC 2109规范中，.ipipp.com 表示该Cookie对子域名有效，不带点则只对精确域名有效。而新版RFC 6265规范已经简化了规则：无论写不写点，只要domain值是主域名，Cookie就会自动匹配主域名及其所有子域名。现代浏览器基本都遵循新规范，但为了兼容老版本浏览器，保留这个点仍然是被广泛推荐的做法，不会产生副作用。
另外要注意，domain参数不能随便填写。浏览器有明确的限制规则：只允许将domain设置为当前域名本身或者它的父域名。你在 user.ipipp.com 页面里执行 $.cookie('token', 'x', {domain: '.qq.com'}) 这种试图给其他公司主域名写Cookie的操作会被浏览器直接拒绝，Cookie根本写不进去。这个限制是为了防止恶意网站通过伪造其他域名的Cookie来冒充用户身份。
删除共享Cookie时的配套处理
配置domain写入只是第一步，退出登录时如果处理不当，会出现Cookie删不掉的诡异问题。jQuery Cookie插件删除Cookie使用 $.removeCookie() 方法，但很多人忽略了一点：删除时的参数必须和写入时保持一致，包括path和domain。
看下面这段有问题的代码：
// 写入时带了domain，删除时却没带
$.cookie('token', 'abc123', { expires: 7, path: '/', domain: '.ipipp.com' });
// 错误的删除方式，不会生效
$.removeCookie('token', { path: '/' });
// 正确的删除方式，参数完全一致
$.removeCookie('token', { path: '/', domain: '.ipipp.com' });原因在于浏览器把不同domain配置的Cookie视为两条不同的记录。{path:'/', domain:'user.ipipp.com'} 和 {path:'/', domain:'.ipipp.com'} 是两个独立的Cookie，用前者去删除后者当然无效。这在实际项目中非常常见，表现为点击退出按钮后页面刷新发现还处于登录状态，排查起来也容易让人迷惑。
建议在项目中把Cookie的配置项封装成公共常量，写入和删除统一引用，避免两处配置不一致：
// common.js 中统一定义
var COOKIE_OPTS = { expires: 7, path: '/', domain: '.ipipp.com' };
// 写入
$.cookie('token', 'abc123', COOKIE_OPTS);
// 删除，复用同一份配置
$.removeCookie('token', COOKIE_OPTS);本地调试与线上环境的差异及注意事项
本地开发时经常用 localhost 作为域名访问，此时domain配置会遇到特殊情况。localhost 属于保留域名，无法设置 domain: '.localhost' 之外的其他主域名，而且部分浏览器对localhost的Cookie处理和普通域名不同。如果本地需要模拟多子域名场景，推荐的做法是修改hosts文件，把 127.0.0.1 映射到自定义域名，例如：
127.0.0.1 www.dev-site.com 127.0.0.1 user.dev-site.com 127.0.0.1 order.dev-site.com
这样本地就能用真实的多子域名结构调试，代码里的 domain: '.dev-site.com' 也能正常验证，避免上线后才发现配置问题。
最后还有几点实践建议。第一，登录凭证类Cookie建议加上 secure: true，确保只在HTTPS连接下传输，降低被劫持的风险；新版浏览器还支持 sameSite 属性，可根据业务需要补充。第二，jQuery Cookie插件从1.4.0版本开始支持 $.rawCookie 和更细粒度的配置，使用老版本插件时要确认 $.removeCookie 是否可用，老写法是传 null 值来删除。第三，如果站点未来可能迁移域名，domain参数是写死在代码里的，记得把它纳入配置项管理，而不是散落在各个页面中。
总结一下，跨二级域名共享登录状态的关键就三点：写入时通过 domain: '.主域名' 把作用域提升到主域名级别；path同步设置为根路径；删除时使用完全一致的参数配置。做好这三点，配合统一的公共配置封装，多个子域名之间就能无缝共享登录状态，用户切换站点时不再需要重复登录。
jQuery Cookiedomain参数跨域名共享登录修改时间：2026-09-12 09:44:34