http - 如何删除 HTTP 响应中的 cookie？

Question

指示浏览器删除(或不再使用)在 HTTP 响应中为给定域发出的 HTTP cookie 的首选方法是什么？

(我知道你不能强制浏览器删除cookie，但必须有一种方法表明它不再有效，不应再发送)

Answer 1

只需将 cookie 设置在完全相同的名称、路径和域上，但具有过去的 Expires 值。可选地，将该值设置为 null/empty-string，即使它只是为了节省带宽，它也会被普通客户端忽略。

请注意，在完全相同的路径上进行设置很重要。许多初学者在这方面失败了，因为仅使用相同的名称和域并依赖当前请求 URL 作为默认路径。

来自RFC 6265 spec :

Finally, to remove a cookie, the server returns a Set-Cookie headerwith an expiration date in the past. The server will be successfulin removing the cookie only if the Path and the Domain attribute inthe Set-Cookie header match the values used when the cookie wascreated.

使用 Max-Age=0 也适用于任何符合规范的用户代理，但规范规定服务器“不应”这样做。每https://www.rfc-editor.org/errata/eid3430 ，这显然是为了最大限度地提高与仅支持正 Max-Age 值的不兼容用户代理的互操作性。