网页cookies

你打开淘宝，网页搜了“机械键盘”，网页关掉页面。网页过一会儿再打开什么新闻网站，网页侧边栏赫然推荐着几款青轴键盘。网页别慌，网页不是网页手机在偷听。那是网页几个月前你点过“同意”的cookies在干活。

Cookie这东西，网页1994年由网景公司一个叫Lou Montulli的网页工程师捣鼓出来。最初目的网页特单纯——帮购物网站记住你车里放了什么。HTTP协议本身没记忆，网页你点一个链接，网页服务器处理完就忘了你是网页谁。Cookie就是网页塞进你浏览器里的一小段文本，下次你再访问，浏览器自动把它捎上。服务器一看：“哦，还是刚才那位，购物车里有三双袜子。”

我第一次认真看cookie，是因为登录某论坛老掉线。打开开发者工具，Application面板里一排排键值对，像超市小票。有叫session_id的，有叫csrf_token的，还有一堆广告商留下的_ga、_fbp。有的过期时间设在2038年，比我硬盘寿命还长。

第一方和第三方，差别大了

你访问zhihu.com，知乎自己种的cookie叫第一方。它记你的登录状态、界面偏好。这些通常还算规矩，毕竟你信任这个站。

但页面里嵌了百度统计的脚本、嵌了双击广告的iframe。这些第三方域在你访问知乎时，也能往你浏览器里塞cookie。它们不关心你在知乎看什么，它们要的是你接下来去weibo.com、去jd.com时，还能认出你。一个广告联盟里几千个网站共享同一套cookie ID，你的浏览轨迹就串起来了。

我试过用浏览器隐私模式逛电商。搜完一个电饭煲，关掉隐私窗口，再开正常窗口去另一个站——推荐位还是电饭煲。原因？隐私模式只隔离了本地存储，但我的IP没变，而且之前正常窗口里那些第三方cookie早把我标记了。换汤不换药。

那点“同意”按钮，你点得有多快

2018年GDPR生效后，欧洲网站弹cookie横幅弹到疯。国内后来也跟进了《个人信息保护法》。但现实是，大多数横幅设计得让你想赶紧点“同意”——字体大、颜色亮，“拒绝”或者“管理设置”藏在二级页面，灰扑扑的小字。

我统计过自己常去的20个中文网站。其中14个，点“拒绝”后依然会种下至少3个cookie，只是名字换了，叫“必要cookie”。必要不必要，网站说了算。有个新闻站更绝，拒绝按钮点了没反应，刷新一下横幅又弹出来。最后我直接装了个uBlock Origin，世界清净了。

没有cookie，互联网会怎样

不是给cookie洗地。但得承认，没了它，你每次点“下一页”都得重新登录。购物车加一件商品，刷新就清空。网站没法记住你选了简体中文还是繁体。那些“记住我”的勾选框，全得消失。

问题不在cookie本身，在谁在用、怎么用。第一方cookie做会话管理，天经地义。第三方跨站追踪，才是麻烦源头。浏览器厂商这几年在收紧：Safari默认阻止第三方cookie，Firefox早就动手，Chrome拖到2024年还在试探。广告商急得跳脚，搞出“指纹追踪”这类替代方案——不存文本了，改看你屏幕分辨率、字体列表、显卡型号，组合起来也能认出你。道高一尺魔高一丈。

我现在的习惯：主力浏览器装Cookie AutoDelete，关标签页就清cookie。需要登录的站加白名单。偶尔用另一个浏览器裸奔，专门看那些不登录不让看的新闻。麻烦点，但至少我知道哪些站记得我，哪些站只是路过。

下次再看到“本站使用cookie改善体验”，不妨停两秒。点开那个“管理设置”，看看它到底想记你什么。你点“同意”的速度，决定了你被记住的程度。