服务器获取客户端cookie的核心途径是解析HTTP请求头中的Cookie字段，后端语言通过相应API读取即可。
服务器获取客户端cookie的基本原理
HTTP协议中的Cookie传递机制
Cookie在HTTP协议中通过请求和响应头传递，客户端每次向服务器发起请求时，会自动将符合域名、路径、安全等条件的cookie拼接到请求头的Cookie字段中，服务器端接收到请求后，通过解析该字段即可获取所有cookie键值对，反过来，服务器需要设置cookie时，通过Set-Cookie响应头让客户端保存。
整个过程由浏览器和HTTP协议自动完成，服务器只需关注请求头中Cookie字段的解析，不同后端语言都封装了相应的读取方法,开发者无需手动解析HTTP头字符串。
服务器端读取Cookie的通用流程
服务器从HTTP请求中提取Cookie字段，通常按分号和空格分割成多个键值对，主流Web框架都已内置此功能，直接调用框架提供的方法即可获取结构化对象，例如在Java Servlet中，getCookies()方法返回Cookie数组；在PHP中，$_COOKIE超全局数组自动填充；在Node.js中，使用cookie-parser中间件后可通过req.cookies访问。
不同后端语言获取cookie的实操方法
PHP中获取cookie：$_COOKIE数组
PHP将请求中的cookie自动解析到$_COOKIE全局数组,直接用键名访问即可。
// 获取名为 "username" 的cookie $username = $_COOKIE['username'] ?? 'default';
如果cookie名称包含特殊字符，需用$_COOKIE[‘cookie-name’]形式，需注意PHP中cookie在脚本执行前就已解析完成,无法在代码中手动读取原始请求头。
Java Servlet中获取cookie：HttpServletRequest.getCookies()
在Java Web应用中，通过HttpServletRequest对象的getCookies()方法获取所有Cookie对象数组。
Cookie[] cookies = request.getCookies();
if (cookies != null) {
for (Cookie cookie : cookies) {
String name = cookie.getName();
String value = cookie.getValue();
}
}
每个Cookie对象包含name、value、domain、path、maxAge等属性，可以单独读取，若未携带cookie，getCookies()返回null。
Node.js Express中获取cookie：cookie-parser中间件
Express框架本身不解析cookie，需配合cookie-parser中间件,安装后使用：
const express = require('express');
const cookieParser = require('cookie-parser');
const app = express();
app.use(cookieParser());
app.get('/', (req, res) => {console.log(req.cookies); // 所有cookie对象});
req.cookies直接返回对象，键为cookie名称，值为对应值，若需解析签名cookie,需传入secret参数。
Python Flask中获取cookie：request.cookies
Flask框架中，通过request.cookies字典获取cookie。
from flask import Flask, request app = Flask(__name__)@app.route('/')def index():username = request.cookies.get('username')return 'Hello ' + username
request.cookies是一个类似字典的对象，键为cookie名，值为cookie值，若cookie不存在，get()返回None。
服务器获取cookie时常见的坑与解决方案
跨域cookie获取问题
浏览器默认在同源请求下才携带cookie，当跨域请求时，需要服务器和客户端共同配合，服务器需设置Access-Control-Allow-Origin为具体域名（不能是星号），并且Access-Control-Allow-Credentials为true，客户端携带cookie时，XMLHttpRequest或fetch需设置withCredentials为true。cookie跨域怎么获取，关键在于后端配置CORS头并允许凭据,同时前端显式开启凭证模式。
Secure和HttpOnly标志的影响
服务器设置cookie时加上Secure标志，表示该cookie仅通过HTTPS传输，HttpOnly标志禁止JavaScript读取cookie，防止XSS攻击，但HttpOnly不影响服务器端读取，服务器仍然可以从请求头中获取，开发者需注意，如果cookie设置了Secure，但客户端通过HTTP发起请求，该cookie不会被携带,服务器自然无法获取。
SameSite属性的限制
SameSite属性用于防止CSRF攻击，取值为Strict、Lax或None，SameSite=Strict时，所有跨站请求都不会携带cookie，Lax模式下，部分安全请求会携带，None模式需配合Secure标志。服务器端cookie设置时若未指定SameSite，现代浏览器默认使用Lax，可能导致第三方集成场景下cookie丢失，服务器获取不到cookie时,需检查客户端请求的上下文是否满足SameSite条件。
cookie路径和域名的匹配
cookie的path属性限制哪些路径下的请求会携带该cookie，服务器在获取cookie时，如果客户端请求的URL路径不匹配cookie的path，则请求头中不会包含该cookie，同样，domain属性指定了哪些域名可以接收cookie，服务器获取不到cookie时,应检查cookie的domain和path是否与当前请求URL一致。
服务器端操作cookie的进阶技巧
如何设置cookie让客户端带到服务器
服务器通过Set-Cookie响应头设置cookie，常用参数包括name、value、expires/Max-Age、domain、path、Secure、HttpOnly、SameSite，设置后客户端在后续请求中自动携带。php获取cookie的方法与设置相对应，设置时使用setcookie()函数，读取时使用$_COOKIE。
cookie的签名与加密
为防止cookie被篡改，服务器可对cookie值进行签名，例如Express框架的cookie-parser中间件支持签名cookie，生成签名后的值存储在请求头中，服务器验证签名确认完整性，对于敏感数据，建议在服务器端加密后再存入cookie，而非明文存储，加密和解密均在服务端完成,客户端不可见原始数据。
cookie与session的配合
多数Web应用使用session来维护用户状态，而session ID通常存储在cookie中，服务器通过获取session ID cookie，到session存储中取出用户数据，这种方式既避免每次请求都传递大量数据，又保证安全性。服务器如何获取客户端cookie，在session场景下就是获取session ID,然后通过ID查找对应session对象。
服务器获取客户端cookie常见问题
服务器获取到的cookie是乱码怎么办？
出现乱码通常是因为cookie值经过了URL编码或包含非ASCII字符，服务器端获取后应进行URL解码，比如PHP中使用urldecode()，Java中通过URLDecoder.decode()处理，设置cookie时建议对值进行编码,避免特殊字符破坏HTTP头结构。
为什么服务器获取不到客户端设置的cookie？
可能原因包括：cookie的domain或path不匹配当前请求URL；cookie设置了Secure但客户端使用HTTP连接；cookie的SameSite属性限制导致跨站请求不携带；cookie过期或已被客户端删除；浏览器隐私模式阻止第三方cookie，逐个排查这些条件,通常能定位问题。
服务器端能否获取其他域名的cookie？
不能，浏览器基于同源策略，只向请求目标域名发送该域名下的cookie，服务器只能获取当前请求中携带的cookie，无法直接读取其他域名的cookie，若需跨域共享，需通过单点登录或代理等技术实现，且受浏览器安全策略制约。cookie跨域怎么获取的答案在于通过CORS或代理间接实现,而非直接读取。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8%e5%a6%82%e4%bd%95%e8%8e%b7%e5%8f%96%e5%ae%a2%e6%88%b7%e7%ab%afcookie%ef%bc%9f%ef%bc%8c%e5%a6%82%e4%bd%95%e5%ae%9e%e7%8e%b0%ef%bc%9f/
