Cookie 分析器
检查 Set-Cookie 响应头的 Secure、HttpOnly、SameSite 与前缀问题
输入
结果
详情
什么是 Cookie Analyzer？
Cookie Analyzer 解析 Set-Cookie 响应头和 Cookie 请求头，并检查每个 Cookie 属性：Secure、HttpOnly、SameSite、Partitioned、Domain、Path、Expires、Max-Age、Priority、__Host- 与 __Secure- 名称前缀以及 Cookie 大小。每个 Cookie 都会得到按用途评估的高、中、低、提示级别发现、已通过检查列表和启发式评分，帮助你在上线前发现薄弱的会话 Cookie。
使用方法
- 1.响应头选择 Set-Cookie，请求头选择 Cookie 请求头。
- 2.每行粘贴一个 Set-Cookie、完整的响应头或一个 Cookie 请求头，或加载示例。
- 3.可选：填写站点 URL 并选择 Cookie 用途；自动会根据名称推断。
- 4.查看评分、发现和已通过的检查，打开某个 Cookie 查看属性表，并复制完整或已脱敏的请求头。
检查范围
解析器遵循浏览器使用的 RFC 6265bis 规则：名称在第一个 "=" 处结束，值可以包含 "="，属性名不区分大小写，重复属性以最后一个为准，Expires 日期可以包含逗号，Max-Age 优先于 Expires。检查会标记缺少 Secure 或 HttpOnly、SameSite=None 未搭配 Secure、无效的 SameSite 值、Partitioned 未搭配 Secure、违反前缀规则、过宽或不匹配的 Domain、超过浏览器 400 天上限的有效期、超过 4096 字节的 Cookie 以及用逗号合并的请求头。严重程度取决于用途：会话 Cookie 缺少 HttpOnly 为高，而脚本必须读取的主题 Cookie 仅为提示。
隐私与限制
所有处理都在浏览器中完成。Cookie 值默认脱敏，不会被保存、不会加入 URL，也不会发送到分析服务；只在需要时显示值或复制完整请求头。评分是启发式的，并非安全保证；隐私提示只是提醒你核对自身要求，而非法律结论。不评估单标签域名以外的公共后缀规则、各浏览器的默认行为和服务端会话处理；Cookie 请求头不携带属性，因此相关检查有限。
