正确做法是用 CURLOPT_COOKIEJAR 和 CURLOPT_COOKIEFILE 自动管理 Cookie，而非手动设置 Cookie 头；登录后第二次请求必须重新指定 COOKIEFILE 路径以复用会话，且服务端需调用 session_start() 并确保 cookie 配置匹配。
PHP cURL POST 请求如何正确携带 Cookie
直接用 cURL 发起带 Cookie 的 POST 请求，关键不是“加个头”，而是让 Cookie 被服务端真正识别——这取决于 Cookie 字符串格式、是否启用 cookie jar、以及服务端是否依赖 session 机制。
常见错误是手动拼 Cookie: key=value; key2=value2 头，结果服务端收不到或 session 失效。原因通常是：服务端通过 Set-Cookie 设置了 HttpOnly 或 Secure 属性，而你没复用响应返回的原始 Cookie；或者没开启 CURLOPT_COOKIEFILE 导致后续请求丢失上下文。
- 必须用
curl_setopt($ch, CURLOPT_COOKIE, 'key=value; key2=value2')显式传入字符串（仅适用于**固定已知 Cookie**） - 更可靠的做法是配合
CURLOPT_COOKIEJAR和CURLOPT_COOKIEFILE自动管理（尤其涉及登录态跳转） - 若服务端返回了
Set-Cookie，且你后续还要发请求，COOKIEFILE必须设为非空文件路径（哪怕只是/tmp/cookie.txt），否则新 Cookie 不会保存 -
Cookie字符串中不能含空格分隔的Path=或Domain=，那是Set-Cookie响应头的格式，cURL 不认
登录后保持 Cookie 并发起二次 POST 的完整流程
典型场景：先 POST 登录接口拿到 PHPSESSID，再用该 session 发起另一个接口调用。这时候靠手写 Cookie 几乎必错，因为登录响应里可能带多个 Set-Cookie（比如 PHPSESSID + _csrf_token），还可能有 expires 或 SameSite 等属性干扰解析。
正确做法是让 cURL 自动处理：
立即学习“PHP免费学习笔记（深入）”；
$ch = curl_init(); curl_setopt($ch, CURLOPT_URL, 'https://example.com/login'); curl_setopt($ch, CURLOPT_POST, true); curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query(['user' => 'a', 'pass' => 'b'])); curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); // 启用 cookie 存储（即使只读也要设路径） curl_setopt($ch, CURLOPT_COOKIEJAR, '/tmp/mycookie.txt'); curl_setopt($ch, CURLOPT_COOKIEFILE, '/tmp/mycookie.txt'); // 可选：跳过 SSL 验证（仅测试环境） curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false); $response = curl_exec($ch); curl_close($ch); // 第二次请求自动带上上一步保存的 Cookie $ch2 = curl_init(); curl_setopt($ch2, CURLOPT_URL, 'https://example.com/api/data'); curl_setopt($ch2, CURLOPT_POST, true); curl_setopt($ch2, CURLOPT_POSTFIELDS, ['action' => 'get']); curl_setopt($ch2, CURLOPT_RETURNTRANSFER, true); curl_setopt($ch2, CURLOPT_COOKIEFILE, '/tmp/mycookie.txt'); // 必须再设一次 $response2 = curl_exec($ch2); curl_close($ch2);
注意：CURLOPT_COOKIEFILE 在第二次请求时仍需显式设置，cURL 不会跨句柄继承；/tmp/mycookie.txt 文件不需要预先存在，cURL 会自动创建并写入。
$_POST 在服务端收不到？检查这几个点
你以为 POST 成功了，但目标 PHP 脚本里 $_POST 为空，大概率不是 Cookie 问题，而是 Content-Type 或数据格式不匹配。
- 如果用
CURLOPT_POSTFIELDS传数组（如['a'=>1,'b'=>2]），cURL 默认以application/x-www-form-urlencoded发送，服务端能正常解析到$_POST - 如果传的是 JSON 字符串（如
json_encode([...])），必须手动设头：curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/json'])，此时 PHP 不会自动填充$_POST，得用file_get_contents('php://input')读取原始体 - Cookie 携带正常 ≠ session 生效：确保目标脚本开头有
session_start()，且session.cookie_domain/session.cookie_path配置与请求域名路径一致
file_get_contents 能不能代替 cURL 带 Cookie？
可以，但极度受限。只能靠 stream_context_create 手动塞 Cookie 头，且无法自动处理重定向后的 Cookie 更新、不支持 CookieJar 行为、不能读取响应里的 Set-Cookie。
示例（仅适合单次、静态 Cookie 场景）：
$opts = [
'http' => [
'method' => 'POST',
'header' => "Content-type: application/x-www-form-urlencoded\r\n" .
"Cookie: PHPSESSID=abc123; other=xyz\r\n",
'content' => http_build_query(['key' => 'value'])
]
];
$ctx = stream_context_create($opts);
$result = file_get_contents('https://example.com/api', false, $ctx);
一旦涉及登录态维持、多次交互或服务端返回新 Cookie，这条路就走不通。cURL 的 COOKIEJAR/COOKIEFILE 是目前 PHP 下最稳妥的选择。
Cookie 字符串里混入注释、换行、或服务端返回的 Max-Age=0 这类指令，cURL 会静默忽略——它只认 key=value 对，别的全当噪音。别指望它智能解析 RFC 标准的完整 Set-Cookie 字段。
