QQ的Cookie里藏着一串叫`uin`和`skey`的东西，拿到它们，等于拿到了这个账号在网页端的通行证。我说的不是盗号，是很多做自动化的人——比如批量管理群签到、抓取QQ空间数据、对接第三方工具——绕不开的一步。腾讯自己也知道这事，所以PC端QQ的Cookie有效期越来越短，有的几小时就失效，逼着你重新登。

先搞清楚Cookie从哪来。最直接的办法是网页版QQ邮箱。浏览器打开mail.qq.com，登录之后按F12，切到Application面板，左边找Cookies，点开`mail.qq.com`那个域。里面有一堆键值对，你要盯的是两个：`uin`和`skey`。uin通常是你的QQ号前面加个`o`，比如`o123456789`，skey是一长串字母数字混合的字符串，大概30多位。这两个拼在一起，就能构造出很多QQ系接口的请求头。

但有个坑——邮箱登录拿到的skey，跟QQ空间、QQ群接口用的skey不一定通用。腾讯内部不同业务线的鉴权是分开的。你要抓QQ空间的Cookie，就得在`user.qzone.qq.com`登录后抓；要操作群，就得去`qun.qq.com`。我试过拿邮箱的skey去请求群接口，返回码永远是100001，意思就是鉴权失败。

具体操作上，Chrome的开发者工具里有个更快的路子。登录目标页面后，在Network面板随便点一个请求，看Request Headers里的`Cookie`字段，整段复制出来。里面通常包含`uin`、`skey`、`p_skey`、`p_uin`这几个关键项。`p_skey`是给QQ空间和QQ群用的，比skey权限更高。注意`p_skey`有时候带特殊字符，复制的时候别漏了。

拿到Cookie之后怎么用？Python里用requests的话，直接塞进headers就行：

headers = {  'Cookie': 'uin=o123456789; skey=@AbCdEfGhIjK; p_skey=xyz123...', 'User-Agent': 'Mozilla/5.0 ...' } 

但别高兴太早。腾讯的风控不是吃素的。同一个Cookie短时间内高频请求，轻则返回空数据，重则直接封禁IP。我见过有人写脚本刷群签到，每分钟请求上百次，结果Cookie半小时就失效，还连带账号被限制登录。稳妥的做法是控制频率，加随机延迟，别用同一个Cookie跑太多不同业务。

还有个现实问题：移动端QQ的Cookie跟PC端不互通。你在手机上抓包拿到的`skey`，放到PC端接口用不了。反过来也一样。腾讯在移动端用的是`a=1`这种参数配合`qzonetoken`，整套鉴权逻辑不一样。所以抓之前先想清楚你要操作的是哪个端的接口。

最后说个我自己的习惯。我从来不在主力QQ号上跑自动化脚本。专门注册个小号，加几个自己的群，拿小号的Cookie做测试。封了就封了，不心疼。Cookie这东西，本质上就是一把钥匙，钥匙丢了可以再配，但别拿主钥匙去开别人家的锁。