setcookie() 调用后无法立即读取，因它仅设置响应头，$_COOKIE 是请求开始时解析的静态数组；需手动赋值或使用 rawurldecode() 解码读取。
setcookie() 为什么调用后立刻读不到？
PHP 的 setcookie() 不是即时写入客户端，而是把响应头（Set-Cookie）塞进 HTTP 响应里，等脚本结束、响应真正发出后，浏览器才接收并存储。所以你刚调用完 setcookie() 就去 $_COOKIE 里查，肯定查不到——$_COOKIE 是请求开始时就解析好的，不会动态更新。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 写 Cookie 后想立刻用，手动同步到
$_COOKIE：$_COOKIE['name'] = 'value'; - 确保
setcookie()在任何输出（包括空格、BOM、echo）之前调用，否则会报“headers already sent”错误 - 调试时别只看
$_COOKIE，用浏览器开发者工具的 Application → Cookies 查真实写入结果
setcookie() 参数顺序和安全选项怎么配？
最常错的是把 $expires 和 $path 位置搞混，或者忽略安全上下文。PHP 7.3+ 要求显式传 $secure 和 $httponly 才能启用对应保护，不传或传 false 都等于没开。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 基础写法（带安全选项）：
setcookie('token', $val, ['expires' => time() + 3600, 'path' => '/', 'domain' => '', 'secure' => true, 'httponly' => true, 'samesite' => 'Lax']); -
'secure' => true只在 HTTPS 下生效；本地开发用localhost时，Chrome 会拒绝 secure cookie，可临时设为false或用 https://127.0.0.1 -
'samesite'推荐设'Lax'（防 CSRF 基础防护），设'Strict'可能导致跨站跳转丢失 Cookie
$_COOKIE 里的值为什么是 URL 编码过的？
浏览器自动对 Cookie 值做 URL 编码（比如空格变 +，中文变 %E4%B8%AD），PHP 不会自动解码 $_COOKIE，得自己调 urldecode()。但注意：如果原始值含 +，urldecode() 会把它当空格处理，有歧义。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 读取时统一用
rawurldecode($_COOKIE['key'] ?? '')（比urldecode()更准，不把+当空格） - 写入前别手动
urlencode()——setcookie()内部已处理；手动编码会导致双重编码 - 值里避免用分号
;、逗号,、空格等特殊字符，这些可能被浏览器或中间件截断
Cookie 过期时间设成 0 或 null 会怎样？
设 expires => 0 并不是“永不过期”，而是“会话级 Cookie”——关掉浏览器标签/窗口就丢。很多人误以为 0 = 永久，结果用户第二天发现登录态没了。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 真要长期有效，明确传未来时间戳，比如
time() + 30 * 86400（30 天） - 删 Cookie 的正确姿势是：设过期时间为过去时间，且
path和domain必须跟写入时完全一致，否则删不掉 - 示例删除：
setcookie('token', '', ['expires' => time() - 3600, 'path' => '/', 'domain' => '', 'secure' => true, 'httponly' => true]);
Cookie 的路径、域名、协议匹配必须严丝合缝，差一个斜杠或大小写，读写都会静默失败——这种问题往往要对照浏览器 DevTools 里看到的实际 Cookie 属性来逐项核对。
