退出登录时 Cookie 清除指南

核心结论：登出 ≠ 单方面操作。HttpOnly 与非 HttpOnly Cookie 需前后端协同清除，缺一不可。残留 Cookie = 安全隐患 + 用户体验漏洞。

#🔒 为什么不能“一键清空”？

浏览器出于安全设计：

• 后端：只能通过 Set-Cookie 响应头清除自己设置过的 Cookie（需属性完全匹配）
• 前端 JS：可读写非 HttpOnly Cookie，但无法触碰 HttpOnly Cookie
• 无“清除全部”API：任何服务端/客户端均无法批量清除浏览器中所有 Cookie

#📊 Cookie 清除权限对照表

💡 注：后端清除前端 Cookie 需精确知道名称、Path、Domain 等，实践中极不推荐依赖此方式

#🔄 标准登出流程（推荐）

#💻 代码示例

#🔐 后端（Node.js/Express 示例）

复制app.post('/logout', (req, res) => {
  // 清除 HttpOnly 认证 Cookie（属性必须与设置时一致！）
  res.clearCookie('auth_token', {
    path: '/',
    httpOnly: true,
    secure: true,      // HTTPS 环境必须
    sameSite: 'strict',
    maxAge: 0
  });
  // 可选：同时使服务端 Session 失效
  req.session.destroy();
  res.json({ success: true });
});

#🌐 前端（登出逻辑）

复制async function logout() {
  await fetch('/logout', { method: 'POST', credentials: 'include' });
  
  // 清除前端管理的非敏感 Cookie（示例）
  ['ui_theme', 'temp_flag'].forEach(name => {
    document.cookie = `${name}=; expires=Thu, 01 Jan 1970 00:00:00 GMT; path=/; domain=.yourdomain.com`;
  });
  
  // 清除其他前端存储
  localStorage.clear();
  sessionStorage.clear();
  
  window.location.href = '/login';
}