一、什么是 Cookies1.1 简介Cookie 是服务器通过 HTTP 响应头发送至浏览器、存储在用户本地设备上的小型文本数据文件主要用于识别用户身份、维持会话状态及记录用户偏好。其核心作用是解决 HTTP 协议的无状态特性使网站能够“记住”用户行为。三个特点数据形式以键值对如usernameJohn存储的纯文本文件仅能被创建它的服务器读取。存储位置由浏览器管理不同浏览器路径不同如Chrome 存储在 Cookies 文件中用户无法直接通过 JavaScript 修改非 HttpOnly 属性外的 Cookie 内容。自动传输浏览器在后续同域请求中自动将 Cookie 附加到 HTTP 请求头服务器通过解析识别用户身份。两种生命周期类型会话 Cookie无明确过期时间仅在浏览器会话期间有效关闭浏览器后自动删除常用于临时状态管理如购物车。持久 Cookie通过 Max-Age 或 Expires 属性设置过期时间如7 天关闭浏览器后仍长期有效用于“记住登录”等场景。实际上Cookie 并非传统意义上的“缓存”如资源复用而是会话状态管理工具需谨慎处理敏感信息。用户可通过浏览器设置管理或删除 Cookie但禁用必要 Cookie 可能导致部分功能失效。开发者应优先使用 HttpOnly Secure SameSiteStrict 组合最大限度保障安全性。1.2 按照功能可以分为三类必要、功能、追踪1必要 CookieEssential / Strictly Necessary Cookies这个类别是网站正常运行的“基础设施”也是网站提供用户明确要求的服务所绝对不可或缺的。三个主要作用会话管理维持用户的登录状态防止用户在浏览不同页面时被反复要求重新登录。安全与验证防范跨站请求伪造CSRF攻击验证用户身份保障支付和表单提交的安全性。负载均衡将用户的请求分配到不同的服务器确保网站在高并发下的稳定性。根据 GDPR通用数据保护条例等隐私法规必要 Cookie 通常不需要获取用户的明确同意即可部署但必须在隐私政策中向用户声明。生命周期特点绝大多数是会话级 CookieSession Cookie在用户关闭浏览器后会自动删除不会长期驻留。2功能 CookieFunctional / Preference Cookies此类别旨在提升用户体验的“个性化记忆”它们允许网站记住用户的选择和自定义设置。例如界面偏好记住用户选择的深色/浅色模式、字体大小、页面布局等。本地化设置保存用户选择的语言、国家/地区、货币单位等避免每次访问都要重新设置。多媒体与交互例如记住视频播放器上次播放的进度或保存用户在评论区输入的昵称。由于涉及收集用户的个人偏好数据通常需要事先获得用户的明确同意Opt-in。如果用户拒绝网站仍应可用但可能无法提供这些个性化便利。生命周期特点通常为持久性 CookiePersistent Cookie会设定一个较长的过期时间如几个月或一年以便用户下次访问时依然生效。3追踪 CookieTracking / Marketing / Analytics Cookies此类别是商业变现与数据洞察的“探针”主要用于分析用户行为、衡量广告效果或进行精准营销。常见的分析方法有三种数据分析Analytics收集匿名或半匿名的统计数据如页面访问量、停留时间、跳出率、用户点击热力图等帮助网站优化内容和结构如Google Analytics。广告定向Targeting/Advertising记录用户的浏览历史和兴趣标签构建用户画像从而在用户访问其他网站时推送高度相关的个性化广告。归因分析Attribution追踪用户是从哪个广告链接点击进入的帮助广告主评估营销活动的投资回报率ROI。传统的追踪 Cookie 多为第三方 Cookie由广告网络或分析平台而非当前访问的网站设置。随着隐私意识的觉醒和浏览器政策的变化如Safari 和 Firefox 已默认拦截Chrome 正在逐步淘汰第三方 Cookie这类 Cookie 的生存空间正在被大幅压缩行业正逐渐转向隐私沙盒Privacy Sandbox等新技术。追踪 Cookie 是隐私监管最严格的领域。包括浏览器在内的工具必须通过醒目的 Cookie 弹窗获取用户的明确同意且必须提供与“同意”同等便捷的“拒绝”选项。用户有权随时撤回同意并清除相关数据。在实际的网站开发或隐私合规审查中建议对这三类 Cookie 实行严格的分级管理非必要不收集收集必告知追踪必授权。这不仅是法律合规的要求也是建立用户信任、提升品牌声誉的关键。1.3 按来源可以分两类第一方、第三方第一方 Cookie 就像是“店铺的私人助理”只在本店为您服务提升您的购物体验而第三方 Cookie 则像是“尾随的陌生人”跟着您穿梭于各个店铺记录您的喜好并试图向您推销商品。1第一方 CookieFirst-Party Cookies此类 Cookie 指的是由用户当前正在访问的网站即浏览器地址栏中显示的域名直接创建和读取的数据文件。主要用途是服务于网站的核心功能与用户体验。例如保持用户的登录状态无需在每次跳转页面时重新验证保存电商购物车中的商品记住用户的语言、主题偏好或界面设置。第一方 Cookie 的数据仅在用户与当前网站之间传输不会与其他网站共享因此通常不被视为侵入式跟踪。所有主流浏览器均默认允许第一方 Cookie 的运行它们是维持现代互联网基础体验的必要技术。2第三方 CookieThird-Party Cookies由当前访问的网站域名之外的第三方如广告商、社交媒体插件、数据分析平台设置的 Cookie。它们通常通过网页中嵌入的外部资源如iframe、广告横幅、追踪脚本植入用户的设备。主要用途跨站追踪与商业变现。构建用户画像当用户访问多个嵌有同一第三方广告代码的网站时该第三方可以读取并合并这些 Cookie从而拼凑出用户的完整浏览历史、兴趣偏好和个人档案。精准定向广告基于收集到的跨站行为数据广告商可以在不同的网站上向用户推送高度个性化的广告例如在 A 网站搜索了手机在 B 网站的社交媒体上就会看到手机广告。第三方 Cookie 往往在用户不知情或未明确同意的情况下持续追踪用户的网络行为这引发了极大的隐私担忧甚至被用于实施身份盗窃或欺诈。GDPR通用数据保护条例和 CCPA加州消费者隐私法案等法规要求使用此类 Cookie 必须获得用户的明确同意并允许用户查看或删除相关数据。3行业趋势第三方 Cookie 的终结与替代由于严重的隐私问题整个互联网行业正在经历一场“去第三方 Cookie”的变革浏览器拦截苹果的 Safari 和 Mozilla 的 Firefox 浏览器早已默认阻止或严格限制第三方 Cookie 的跨站追踪行为。Chrome 的政策转向谷歌曾计划在 Chrome 浏览器中逐步淘汰第三方 Cookie并推出了“隐私沙盒Privacy Sandbox”计划作为替代方案旨在通过聚合用户兴趣群组而非追踪个体来实现广告投放。但受限于反垄断调查及行业阻力谷歌在 2025 年宣布终止该淘汰计划维持现状。尽管第三方 Cookie 的消亡进程有所波折但行业向“隐私优先”转型的趋势不可逆转。企业正越来越多地转向依赖第一方数据、情境智能广告Contextual Advertising以及统一身份识别方案如UID2.0来替代传统的第三方追踪。1.4 典型应用场景1会话管理用户登录状态维持服务器生成唯一 SessionID 存入 Cookie后续请求通过该 ID 识别用户避免重复登录。购物车数据保存电商网站利用 Cookie 临时存储未结算商品即使关闭页面后重新打开仍可恢复。2个性化服务偏好设置记忆自动应用用户选择的语言、字体大小等减少重复配置。内容定制根据历史行为推送相关内容如新闻推荐提升用户体验。3行为分析与广告流量统计匿名记录访问路径、停留时长等优化网站设计如 Google Analytics。精准营销基于浏览记录投放相关广告实现跨站追踪需用户同意。1.5 与其他缓存的区别特性CookieLocalStorage/SessionStorage存储容量≤4KB≥5MB自动随请求发送是同域请求自动附加否生命周期控制由服务器设置过期时间需手动清除或依赖会话主要用途会话管理、身份识别大容量数据缓存回到顶部二、什么是 Private state tokens2.1 简介Private State Tokens私有状态令牌简称 PST并非传统意义上的浏览器缓存类型而是一种隐私保护技术用于在不泄露用户身份的前提下验证用户行为真实性如区分真人与机器人。它不用于存储网页资源或会话数据而是通过加密令牌机制解决跨站跟踪与隐私泄露问题。隐私优先的身份验证PST 允许网站向用户发放匿名化验证令牌证明用户是“合法访问者”但不暴露具体身份信息避免传统 Cookie 跨站追踪问题。非缓存机制与 Cookie、LocalStorage 等存储技术不同PST 不用于缓存网页资源或用户数据而是专注于安全验证流程属于浏览器隐私沙箱的一部分。PST 不是浏览器缓存技术而是一种隐私优先的匿名验证协议核心价值在于平衡安全验证与用户隐私。开发者无法将其用作数据存储方案其适用场景严格限定于反欺诈、广告验证等特定领域且目前处于早期实验阶段。若需实现常规缓存功能仍应优先使用Cache-Control、Service Worker 等标准机制。与传统缓存的关键区别特性Private State Tokens传统浏览器缓存如 Cookie主要用途匿名验证用户真实性存储会话状态、资源副本或用户偏好数据可见性完全加密开发者无法直接读取内容可被服务器或 JavaScript 读取存储目的防机器人/反欺诈非资源复用加速页面加载或维持会话状态2.2 令牌生成与验证流程1发行方Issuer签发受信任的第三方如广告平台、安全服务通过浏览器隐私沙箱生成加密令牌仅包含“用户已通过验证”的证明无具体身份信息。2用户端存储与使用浏览器将令牌安全存储在隔离的隐私沙箱中当用户访问合作网站时自动提供验证证明无需跨站传递用户标识。3匿名化验证网站通过浏览器 API 验证令牌有效性但无法获知用户身份或行为轨迹实现“证明合法性而不泄露隐私”。2.3 关键技术依赖浏览器隐私沙箱令牌生成、存储和验证均在浏览器受控环境中完成开发者无法直接访问原始数据。JavaScript API 交互通过 navigator.privateStateToken.exchange() 触发验证流程但返回的 token 是不透明的加密 Blob无法被解析或篡改。2.4 典型应用场景1反机器人与广告验证广告欺诈防护广告平台通过 PST 证明用户是真人避免机器人刷量同时不收集跨站浏览历史。无验证码验证替代传统 CAPTCHA用户无需手动验证即可通过 PST 证明“非自动化流量”。2隐私合规的跨站交互替代第三方 Cookie在 Safari、Firefox 逐步禁用第三方 Cookie 的背景下PST 提供符合 GDPR/CCPA 的跨服务验证方案仅传递“验证通过”信号不共享用户标识。安全登录辅助与 OAuth 等协议结合在敏感操作如支付中追加匿名化真人验证降低欺诈风险。2.5 现状浏览器支持有限仅 Chrome 125 原生支持且需手动启用实验性 Flag--enable-featuresPrivateStateTokens。严格环境要求必须运行在 HTTPS 或 localhost 环境。发行方域名需预注册至浏览器白名单由 Chrome 团队管理不可自定义。开发者控制权弱令牌内容由浏览器生成开发者无法自定义数据结构仅能触发验证流程。当前还处于早期标准化阶段因为由 Cloudflare 联合 Chrome、Firefox、Edge 推动成为行业标准尚未广泛落地。PST 还是非通用存储方案不可用于常规数据缓存如页面资源、用户偏好仅适用于特定验证场景。为何常被误认为“缓存类型”首先是术语混淆。“Tokens”一词易被误解为可存储数据的载体但PST 不提供开发者可读写的存储空间。另外部分浏览器开发者工具将 PST 归入“存储”标签页如Chrome 的 Application Storage但其本质是验证协议而非存储机制。实际上PST 属于隐私保护层而非缓存层。PST 是浏览器隐私计算架构的一部分目标是消除跨站追踪而非优化资源加载速度。仅在极少数情况下PST 验证结果可能间接影响缓存策略如真人用户优先使用 CDN 缓存但二者无直接技术关联。回到顶部三、两者的区别和联系3.1 区别Cookies 是开发者可控的传统会话标识工具而 Private State Tokens 是浏览器自动管理的隐私保护协议。二者均用于身份验证但 PST 通过加密匿名化设计替代第三方 Cookie 的跨站追踪能力不存储用户数据开发者无法直接操作仅用于防欺诈验证。特性CookiesPrivate State Tokens存储内容明文键值对如user_id123加密令牌无用户标识信息隐私风险高易被跨站追踪需SameSite防护极低设计即防追踪开发者访问可读写document.cookie完全不可见仅浏览器内部使用技术控制权方面Cookies由服务器通过 Set-Cookie 头下发开发者可自定义生命周期Expires/Max-Age需手动集成到业务逻辑如登录后写入 sessionID。Private State Tokens浏览器自动管理开发者无法直接操作。仅通过 API 触发验证流程如调用 navigator.privateAggregation.reportEvent令牌生成与验证完全由浏览器控制。核心用途方面也不同Cookies维持用户级会话状态如登录态、购物车。依赖服务器存储 Session 数据完成身份验证。Private State Tokens解决跨站欺诈问题如反机器人验证不用于用户身份识别。在用户访问广告或登录页面时匿名证明“该用户是真人”避免暴露身份信息。3.2 相同点1共同目标验证用户真实性二者均服务于身份验证场景但解决的问题层次不同Cookies 验证“这是哪个用户”需关联服务器 Session。PST 验证“该用户行为是否可信”如是否为真人操作不涉及具体身份。2PST 是 Cookie 在隐私时代的演进替代第三方 Cookie 的追踪功能PST 通过加密协议实现跨站反欺诈验证如广告点击验证无需共享用户标识直接规避 GDPR/CCPA 合规风险。互补而非取代一方 Cookie 仍用于常规会话管理如登录态。PST 仅用于特定隐私敏感场景如广告验证二者可共存。3技术协同场景广告反欺诈验证流程用户点击广告后发布商通过 PST 向广告平台发送匿名验证请求。浏览器自动用 PST 生成加密令牌证明用户行为可信而非暴露身份。广告平台验证令牌后计费无需依赖第三方 Cookie 追踪用户。回到顶部四、小小的总结Cookies 是“身份标识载体”PST 是“匿名验证协议”——二者同属身份管理范畴但 PST 通过隐私优先设