合壹 Cookie 政策

特别提示：本政策是《合壹隐私政策》的组成部分，用于说明合壹在你的浏览器上写入与读取信息的具体范围。就本政策未涉及的个人信息处理事项，适用《合壹隐私政策》；就服务使用规则，适用《合壹服务协议》。

请你在使用合壹服务前完整阅读本政策，特别注意其中关于必要 Cookie 无法关闭、以及关闭后果的说明（第三条、第五条）。

第一条　什么是 Cookie

1.1　Cookie 是网站在你访问时存放在你终端设备浏览器中的一小段文本数据。当你再次访问同一网站时，浏览器会把该数据回传给网站，使网站能够识别这是同一个浏览器发起的请求。

1.2　Cookie 具有若干技术属性，它们共同决定了 Cookie 的安全边界。本政策在第三条逐项披露合壹所设 Cookie 的下列属性：

• HttpOnly：标记为 HttpOnly 的 Cookie 无法被网页中运行的 JavaScript 读取，只能由服务器读取，可显著降低跨站脚本攻击窃取凭据的风险；
• Secure：标记为 Secure 的 Cookie 只在 HTTPS 加密连接中传输；
• SameSite：限制 Cookie 在跨站请求中是否被携带。Strict 表示仅在从合壹站内发起的请求中携带，Lax 表示仅在顶层页面跳转等有限情形下携带；
• Path / Domain：限制 Cookie 的作用路径与作用域名；
• Max-Age / 有效期：Cookie 的存活时长，到期后浏览器自动删除。

1.3　除 Cookie 外，浏览器还提供其他本地存储技术。合壹使用其中的 localStorage，只在登录页、账号页面（修改密码、换绑手机号与通知偏好）、工作区与运营后台使用，公开页不使用；合壹不使用 sessionStorage。本政策一并披露：

• localStorage（本地存储）：保存在你的浏览器中、不随请求自动发送给服务器的数据，除非你主动清除，否则长期保留；

1.4　合壹未使用下列技术：IndexedDB、Service Worker、Cache Storage、Flash 本地共享对象（LSO）、tracking pixel（跟踪像素）、web beacon（网络信标）、ETag 指纹、Canvas 指纹或其他同类跨站追踪技术。

第二条　我们如何使用 Cookie

2.1　合壹使用 Cookie 与同类技术的目的，严格限于维持登录状态、防范跨站请求伪造与显示操作提示三类，本地存储只用于记住界面偏好（见 2.4）。合壹不使用 Cookie 进行广告投放、跨站行为追踪、用户画像营销或向第三方出售数据。

2.2　维持登录状态。你登录后，合壹在你的浏览器中写入一枚会话 Cookie（sessionid），其中只有一个随机的会话标识；会话内容（包括登录的是哪个账号）保存在合壹服务端的数据库中。使用手机号验证码登录时，这枚 Cookie 在你提交手机号、合壹发出验证码时就写入，用于在服务端暂存你正在登录的手机号。

该设计的效果是：你在合壹的登录状态依赖一枚受严格保护的 Cookie；若浏览器禁止合壹写入 Cookie，你将无法保持登录。

2.3　保障账户与操作安全。合壹在带有表单的页面（登录页、账号页面、工作区与运营后台）写入一枚防跨站请求伪造令牌 Cookie（csrftoken）。你提交表单时，服务端核对表单中的令牌与这枚 Cookie 是否相符，防止其他网站借用你的登录状态替你提交表单。公开页不写入这枚 Cookie。

2.4　记住界面偏好。你在登录页、账号页面、工作区与运营后台的明暗主题设置，以及侧边栏的展开状态与宽度，保存在你浏览器的 localStorage 中，不写入 Cookie，也不上传至服务端。这些数据仅用于让你下次打开这些页面时看到与上次一致的界面。

2.6　关于产品分析。合壹的页面没有页面浏览或交互事件的埋点。合壹的运行日志只在服务器端记录，不在你的浏览器中执行，不触及你的设备存储。

第三条　Cookie 的类型

3.1　按用途划分，Cookie 通常分为必要 Cookie、功能 Cookie 与分析 Cookie 三类。合壹当前仅使用必要 Cookie，各类别的实际使用情况如下：

3.2　必要 Cookie 明细。合壹在正式环境向你的浏览器写入的 Cookie 完整列举如下，除此之外不写入其他 Cookie：

平台运营后台（/admin/）与网站在同一个主机名 heyi.cafe 下，使用上表同一组 Cookie。合壹在本机开发环境写入的 Cookie 没有 Secure 标记，其余与上表一致，该差异不影响你在正式环境中的使用。

3.3　上述 Cookie 的共同安全约束：

• sessionid 与 messages 标记为 HttpOnly，网页脚本无法读取，因此不会被页面内的脚本窃取；csrftoken 不标记 HttpOnly，页面脚本读得到，它只用于核对表单提交，不承载登录状态；
• 在正式环境中全部标记为 Secure，仅通过 HTTPS 加密连接传输；
• 全部不设置 Domain 属性，即仅对写入它的具体主机名生效（host-only），不会在合壹的其他子域名之间共享；
• 全部采用 SameSite=Lax，从其他网站跳转到合壹的顶层页面时携带，其他网站在其页面内向合壹发起的请求不携带；
• 你退出登录时，合壹会立即清除登录状态 Cookie。

3.4　localStorage 明细。以下数据保存在你的浏览器本地，不属于 Cookie，不随请求自动发送给服务器：

3.5　合壹不会在 Cookie 或 localStorage 中保存你的密码、身份证号或银行账户信息；会话 Cookie 只承载会话标识。

第四条　第三方 Cookie

4.1　第三方 Cookie 指由你所访问网站之外的其他域名在你浏览器中写入的 Cookie，通常由嵌入式统计脚本、广告脚本、第三方字体或嵌入式框架（iframe）产生。

4.2　合壹页面上下文中当前不存在任何第三方 Cookie。合壹的网页中未嵌入任何第三方统计脚本、广告脚本、第三方字体或嵌入式框架。头像、社区封面与服务图片经合壹的图片分发域名 cdn.heyi.cafe（腾讯云内容分发网络）加载；你下载需求、洽谈消息、报价方案、交付物、订单交付与运营介入的附件时，浏览器经腾讯云对象存储（COS）的签名链接直接下载，链接 10 分钟内有效。加载这些图片的请求不在你的浏览器中写入 Cookie；经签名链接下载附件的请求同样不写入 Cookie。

4.4　关于短信服务。合壹的手机号验证码与短信通知由腾讯云短信服务发送，该服务在服务端调用，不在你的浏览器中执行、不写入任何 Cookie。

4.5　合壹若在未来引入第三方统计分析、支付或其他会写入第三方 Cookie 的服务，将先行更新本政策，明确披露该第三方的身份、Cookie 名称与用途；对于非必要类 Cookie，将在写入前以显著方式取得你的单独同意，并提供关闭途径。在完成上述步骤前，合壹不会写入任何第三方 Cookie。

第五条　如何管理与关闭

5.1　站内开关。由于合壹当前仅使用维持登录与保障安全所必需的 Cookie，未部署功能类或分析类 Cookie，因此合壹当前未提供站内 Cookie 偏好开关。合壹如按第 4.5 条引入非必要 Cookie，将同步提供站内开关与撤回同意的入口。

5.2　通过浏览器管理。你可以随时通过浏览器设置查看、删除或阻止合壹写入的 Cookie。常见入口如下（以浏览器实际版本为准）：

• Chrome：设置 → 隐私和安全 → 第三方 Cookie / 网站数据和权限；
• Safari：设置 → 隐私 → 管理网站数据；
• Edge：设置 → Cookie 和网站权限；
• Firefox：设置 → 隐私与安全 → Cookie 和网站数据；
• 移动端浏览器：一般位于"设置 → 隐私"或"设置 → 网站设置"中。

5.3　清除本地存储。你可以通过浏览器的"清除浏览数据 / 清除网站数据"功能，一并清除合壹写入的 localStorage 数据。

5.4　关闭后的影响。请你在操作前了解以下后果：

• 阻止或删除登录状态 Cookie：你将无法保持登录，需要重新登录；正在进行的登录会话会立即失效；
• 阻止防跨站请求伪造令牌 Cookie（csrftoken）：你无法提交登录页、账号页面、工作区与运营后台的表单，提交后看到「这次提交已失效」的提示页；
• 清除 localStorage：明暗主题设置、侧边栏的展开状态与宽度会被重置为默认值，不影响你的账号数据；

5.5　由于必要 Cookie 是提供登录服务所不可缺少的技术手段，阻止必要 Cookie 将导致你无法使用需要登录的合壹功能。合壹的公开页（OPC、社区与需求的公开页）不登录也可以访问，访问时不写入任何 Cookie 或本地存储。

5.6　"请勿追踪"（Do Not Track）。合壹不进行跨站行为追踪，因此无论你的浏览器是否发送 Do Not Track 信号，合壹的处理方式均相同。

第六条　政策更新

6.1　合壹会随产品功能、技术实现与法律法规的变化更新本政策。本政策以版本号与生效日期标识；每一版本在平台内长期可查。

6.2　合壹在平台内以版本化方式管理法律文件，并记录用户对特定版本的同意。本政策的一般性更新，合壹将通过在页面显著位置更新版本号与生效日期的方式发布。

6.3　发生下列重大变更时，合壹将在变更生效前通过站内提示、弹窗、通知或其他显著方式单独告知你，并在法律要求时重新取得你的同意：

• 新增必要 Cookie 之外的 Cookie 类别（如功能 Cookie、分析 Cookie）；
• 首次引入任何第三方 Cookie 或第三方统计分析、追踪服务；
• 扩大 Cookie 收集信息的范围或改变其使用目的；
• 改变 Cookie 数据的对外共享范围。

6.4　你在本政策更新后继续使用合壹服务，视为你已了解更新后的内容；对于依法需要单独同意的事项，合壹不会以"继续使用"推定你的同意。

第七条　联系我们

7.1　你对本政策或合壹的 Cookie 使用有任何疑问、意见或投诉，可通过以下渠道联系我们：

• 运营主体：上海智羽慧信息科技有限责任公司
• 通信地址：上海市徐汇区云锦路 701 号 40 楼 T1 室
• 联系邮箱：admin@heyi.cafe
• 个人信息保护邮箱：legal@heyi.cafe
• ICP 备案号：沪ICP备2026020875号-1

7.2　我们将在收到你的请求后核验你的身份，并在三十（30）日内予以答复。

7.3　如你认为合壹的 Cookie 使用侵害了你的合法权益，你也可以向有关主管部门投诉、举报，或依法向有管辖权的人民法院提起诉讼。

上海智羽慧信息科技有限责任公司　　沪ICP备2026020875号-1

《合壹 Cookie 政策》v1.0　　生效日期 2026-10-23　　经执业律师复核 · 运营主体批准发布

关联文件：《合壹服务协议》《合壹隐私政策》