跨域Cookie失效主因是PHP setcookie()的domain参数错误或samesite/secure未正确配置，需以.开头如.example.com、显式设samesite=Lax或None（配secure=true），且前端请求须带credentials并匹配CORS头。
PHP设置Cookie时domain参数写错导致跨域失效
跨域Cookie在PHP里根本不是靠前端JS控制的，关键在服务端setcookie()的$domain参数是否匹配当前请求域名。写成example.com却想让api.example.com读到，肯定失败。
-
$domain必须以点开头，比如.example.com，才能被子域名共享；写成example.com（无点）只匹配精确主域 - 不能跨主域：设
.com或.example.org会被浏览器直接拒绝，setcookie()返回true但实际不生效 - 如果用Nginx反向代理，后端PHP看到的是
localhost或内网IP，$_SERVER['HTTP_HOST']可能不对，得手动判断并覆盖$domain - HTTPS站点必须同时设置
secure和samesite=None，否则Chrome 80+会静默丢弃
PHP中Samesite属性没显式声明引发的兼容性问题
PHP 7.3+才原生支持samesite参数，老版本只能拼接Set-Cookie头。但哪怕新版本，漏写samesite也会出事——默认行为在不同浏览器里不一致，尤其跨站POST带Cookie时容易401或空session。
- 明确设
samesite=Lax适合大多数登录态场景；需要跨站提交表单才用samesite=None，且必须配secure=true - PHP 7.3以下用
header('Set-Cookie: ...; SameSite=Lax')，注意分号后要空格，否则IE11直接忽略整条头 -
samesite=None在Firefox 79+和Safari 12+有兼容陷阱：Safari要求secure且不接受None小写，必须全大写None
前端发请求时credentials没开，PHP写的Cookie白设
就算PHP把Cookie设对了，前端fetch或XMLHttpRequest没带凭据，浏览器压根不会发Cookie过去，后端$_COOKIE永远空。这不是PHP的问题，但排查时最容易误判。
- fetch必须加
credentials: 'include'；jQuery ajax要设xhrFields: { withCredentials: true } - AJAX请求的Origin头必须和后端
Access-Control-Allow-Origin完全匹配，不能是*（除非不带Cookie） - 如果后端用
header('Access-Control-Allow-Origin: https://a.com')，但前端从https://a.com:3000发请求，端口不同也算跨域失败
PHP session跨域时session_id没透传
用session_start()依赖Cookie存PHPSESSID，但跨域时这个ID不会自动带到新域名。常见做法是把session_id()塞进URL或API参数里，但要注意安全边界。
立即学习“PHP免费学习笔记（深入）”；
- 启用
session.use_cookies=0+session.use_only_cookies=0才能允许URL传递，但会降低安全性，仅限内网或可信跳转 - 更稳妥的做法：前端首次跨域请求时，后端返回
Set-Cookie带正确domain和samesite，后续请求靠浏览器自动携带 - 如果前后端分离部署，建议放弃PHP原生session，改用JWT或自定义token，由前端统一管理存储和透传逻辑
跨域Cookie真正卡住人的地方，往往不在PHP语法，而在浏览器对domain、samesite、secure三者的组合校验极其严格，而且各版本行为有差异。调通之前，先用浏览器DevTools的Application → Cookies面板确认Cookie是否真的写进去了，别只看setcookie()返回true。
