如何获取cookie：仅限自用，严禁窃取

如何获取cookie，合法操作仅限读取你自己账号、自己设备内的cookie，包含浏览器开发者工具读取、CookieEditor扩展导出、后端服务读取访客授权cookie三类方式，所有方式都不能用于抓取他人账号cookie、绕过平台权限、批量爬取受保护数据，该行为受《中华人民共和国个人信息保护法》约束，cookie属于身份凭证，一旦未经授权获取他人cookie，会涉及侵犯个人信息、非法获取计算机信息系统数据的法律风险，仅适合前端调试、自有网站开发、自有账号本地调试的技术人员使用，不适合用于批量登录、代刷、数据采集类场景。

如何获取cookie：浏览器开发者工具操作

打开目标网页并登录属于你自己的账号，按下F12调出开发者工具，切换到Application面板，在左侧Storage分类下找到Cookies，选中当前域名，右侧列表会展示该域名下全部cookie字段，右键对应条目选择复制，可复制单个cookie值，也可全选后导出全部cookie文本。Network面板同样可以拿到cookie，刷新页面后选中任意请求，在RequestHeaders里找到Cookie字段，直接复制整串内容，这个方式不需要额外安装插件，大多数主流浏览器都原生支持，调试时优先选用。

复制出来的cookie有有效期，分为会话cookie和持久cookie，会话cookie关闭浏览器后就失效，持久cookie会按照expires时间保留，拿到之后不要随意转发给其他人，他人拿到你的cookie可以在有效期内免密登录你的账号，造成账号资产、隐私信息泄露。

如何获取cookie：扩展工具导出方式

你可以安装CookieEditor这类浏览器扩展，登录账号后点击扩展图标，面板会直接展示当前域名cookie，支持一键导出为JSON、Netscape格式，导出文件适合本地脚本、测试工具读取，相比开发者工具手动复制，批量导出的效率更高。扩展工具仅简化读取流程，不会突破网站同源策略，同源策略限制脚本只能读取当前域名下cookie，跨域网页无法互相读取对方cookie，这是浏览器内置安全机制。

后端读取cookie只适用于你拥有所有权的站点，Java、Python、Node.js都可以接收请求头携带的cookie，前提是访客访问你的站点并且网站已经完成Cookie告知与同意流程，不能通过接口、爬虫脚本主动去别的站点拉取cookie，这类操作属于越权访问。

同源策略是核心边界。

前端JS里document.cookie只能读取同域、未设置HttpOnly标记的cookie，HttpOnly标记的cookie无法通过JS读取，只能在HTTP请求头里由浏览器自动携带，这个标记是平台用来防止XSS脚本窃取cookie的防护手段，很多登录凭证类cookie都会开启HttpOnly，这种情况下只能从Network请求头拿到，前端脚本无法直接读取。

不要尝试抓包、注入脚本、木马程序去拿到别人设备上的cookie，这类手段属于非法技术手段，即便没有直接出售信息，单纯登录他人账号也会产生相应法律责任，平台协议大多明确禁止cookie共享、代登录行为，被检测后账号会被封禁。

拿到cookie之后，使用时尽量缩短保存周期，测试完成及时清理本地存储的cookie文件，不在公共设备上导出cookie，避免凭证遗留。