setcookie() 必须在任何输出前调用，因它是HTTP头部操作；过期时间须为未来Unix时间戳（int），推荐数组语法；secure/httponly需按环境显式设置；$_COOKIE不实时更新，调试应查浏览器DevTools。
setcookie() 必须在任何输出之前调用
PHP 的 setcookie() 是一个 HTTP 头部操作函数，一旦有哪怕一个空格、换行或 echo 输出，就会触发 “Cannot modify header information” 错误。这不是配置问题，是执行时机硬限制。
常见错误现象：Warning: Cannot modify header information - headers already sent by...
- 检查 PHP 文件开头有没有 BOM（尤其 Windows 编辑器保存时容易带）
- 确认
setcookie()前没任何print、echo、var_dump()，包括文件末尾的换行后空白 - 如果用了模板或 include，要确保所有被包含文件也满足“无前置输出”
- 开发阶段可临时加
ob_start()在最顶部兜底，但别当长期方案——它掩盖了输出顺序混乱的问题
Cookie 过期时间用 time() + 秒数，不是字符串或时间戳格式错误
第二个参数是值，第三个才是过期时间戳。很多人把 time() + 86400 写成 '+1 day' 或直接传 strtotime('+1 day') 却忘了它返回的是整数，不是字符串——但问题不在这里，而在于：PHP 要求这个参数必须是 Unix 时间戳（int），且为未来时间；传错类型或过去时间会导致 Cookie 立即失效。
- 正确写法：
setcookie('theme', 'dark', ['expires' => time() + 2592000, 'path' => '/', 'secure' => true, 'httponly' => true, 'samesite' => 'Lax']) -
expires选项优先级高于旧式第三个参数，推荐用数组形式（PHP 7.3+） - 本地测试时注意服务器时间和浏览器时间偏差，可能导致 Cookie 看似“不生效”
- 设为 0 或负数 = 会话级 Cookie，关闭浏览器即丢，别误以为是“永久”
secure 和 httponly 必须按部署环境显式开关
这两个标志不设默认值，不写就是 false。线上用 HTTPS 却漏掉 secure => true，Cookie 就不会随请求发到服务端；漏掉 httponly => true，JS 就能读取甚至篡改，比如 document.cookie = 'theme=xxx' 可覆盖你设的偏好。
立即学习“PHP免费学习笔记（深入）”；
- 开发环境（HTTP）：
'secure' => false，否则 Chrome/Firefox 直接忽略该 Cookie - 生产环境（HTTPS）：
'secure' => true，且 Web 服务器必须真实提供 HTTPS -
httponly => true应始终开启，除非你明确需要 JS 读写（如前端做灰度开关） - PHP 8.0+ 支持
samesite，建议设为'Lax'防 CSRF，但注意老版本 Safari 对'Strict'兼容差
$_COOKIE 不会实时更新，修改后要等下次请求才生效
PHP 的 $_COOKIE 是请求开始时从 HTTP Header 解析的一次性快照。你在当前脚本里调用 setcookie()，并不会让 $_COOKIE['theme'] 立刻变掉——它还是上一次请求带过来的值。
- 想“立刻读取刚设的值”，得自己同步：
$_COOKIE['theme'] = 'dark';（仅限当前请求内存，不影响客户端） - 调试时别靠
var_dump($_COOKIE)判断setcookie()是否成功，要看浏览器 DevTools → Application → Cookies - 重定向（
header('Location: ...')）后下个请求才能看到新 Cookie，这是正常行为，不是 bug - 如果偏好要实时响应（比如切换主题不刷新页面），得靠 JS 配合后端 API，而不是只依赖 Cookie 自动携带
实际部署时最容易被忽略的，是 path 和 domain 的范围控制——设得太宽可能跨子域泄露，太窄又导致登录态或偏好在某些路径下读不到。别图省事全写 '/' 和空 domain，先想清楚你的路由结构和部署域名。
