为什么国外使用 cookies 就需要用户明确同意？我把 cookies 序列化后丢进 localStorage，写个 interceptor 给所有 api 请求都加个请求头 cakes 把这个值发出去不是也能一样的效果

# 我知道第三方 cookies ，但已经被主流浏览器默认拦截了吧

@justdoit123 回答法律上的东西，最好不要“貌似”哦。你这个“貌似”就是错误的，GDPR 规定的是一切 cookie ，包括第一方的。同时 GDPR 要求网站让用户选择 cookie 的用途，比如说登录等必要的 cookie 可以接受，但广告、追踪等可以拒绝。

另外这个法律是只要服务欧盟用户就生效，并不管服务提供者在哪里，详见 https://gdpr.eu/article-3-requirements-of-handling-personal-data-of-subjects-in-the-union/ 第 2 款。不然的话服务商在欧盟以外注册个皮包公司就能规避，那这个法不就成了笑话。当然现实中小鱼小虾人家也不会管，但是美国很多中型网站因为不能合规会屏蔽整个欧洲。

@codehz 你的理解是对的，但是引用的是一个解释，不是法律条文。真正的原文： https://gdpr.eu/recital-30-online-identifiers-for-profiling-and-identification/

如果你在欧盟没有经营实体，确实可以直接无视，甚至直接在页面上开嘲讽都没人管你。
如果在欧盟有业务，那么你也不敢不遵守。

欧盟那个 cookie 其实也是包含 localStorage 等一切能在本地持久化的数据存储的（甚至包括 fingerprint 和 IP 这种不需要在浏览器存储的东西），别看人家写着 cookie 提示，那其实只是给用户的解释，毕竟 cookie 这个概念比较容易理解
原文摘抄如下
Personal data is any information that relates to an individual who can be directly or indirectly identified. Names and email addresses are obviously personal data. Location information, ethnicity, gender, biometric data, religious beliefs, web cookies, and political opinions can also be personal data. Pseudonymous data can also fall under the definition if it’s relatively easy to ID someone from it.

法规问题，非技术问题

技术上其实你说的对，不让用 cookie 还有很多追踪用户的替代方法
但问题是欧盟给你开罚款的时候不一定听你这么解释

jsp 老办法不就是在 url 上自动带上 jsessionid

法律问题, 你这么干了,会被欧盟起诉

各国的隐私法的要求。
GDPR 特别严。
美国有的州也比较严，例如加州。

需要用户同意那个，具体政策相关没具体看过。不过对于后面的问题……

当用户浏览器设置里面 禁用了 Cookies ，所有本地存储 (含 LocalStorage) 将也会完全不可用。尝试调用会报错。

此外就是，Cookies 承担的可以不止是单纯一个域名下使用的凭据。多个域名之间的跳转保留登录状态自动完成登录、或是 OAuth 等，其中的重定向步骤可以没有 JavaScript 的参与，直接靠服务端取 Cookie 和跳转设置新 Cookie 来完成验证。全靠客户端借助 LocalStorage 的话，这种场景用户那边体验会下滑，因为网络请求就不是几个重定向就完成的了，必须加载含 JavaScript 的页面来承担中间的一些步骤。

欧盟的杰作之一 GDPR https://en.wikipedia.org/wiki/General_Data_Protection_Regulation