setcookie()必须在任何输出前调用，否则因HTTP头已发送而报“headers already sent”；根本原因是BOM、空格、换行或引入文件的意外输出导致头部提前发出。
setcookie() 必须在任何输出前调用，否则直接失败；$_COOKIE 读不到刚 setcookie() 的值，这是机制限制，不是 bug。
setcookie() 报 “headers already sent” 怎么快速定位
错误本质是 HTTP 响应头已发出，不能再追加 Set-Cookie。常见诱因不是代码写错，而是看不见的字符：
- PHP 文件开头存在 UTF-8 BOM（尤其 Windows 编辑器保存时默认带），用
hexdump -C yourfile.php | head查看前几字节是否为ef bb bf - 文件末尾多了一个换行或空格（比如
?>\n后还跟了回车） - 引入的配置文件（如
config.php）里有echo、print或意外输出 - 开启
short_open_tag且文件以开头，但服务器实际未启用该配置，导致第一行被当作文本输出
临时绕过可用 ob_start()，但仅限调试——它把输出缓存住，等脚本结束再统一发，会增加内存压力，线上慎用。
为什么刚 setcookie() 就 echo $_COOKIE['xxx'] 是空的
$_COOKIE 是 PHP 在请求开始时，从浏览器发来的 HTTP 请求头里一次性解析出来的数组，它只反映“上一次响应后浏览器带回的 Cookie”。setcookie() 只是告诉浏览器“下次请求带上这个”，不修改当前请求的 $_COOKIE。
立即学习“PHP免费学习笔记（深入）”；
- 验证是否设置成功，必须刷新页面（触发新请求）再读
$_COOKIE - 调试时可手动同步：
$_COOKIE['user_id'] = '123';，但这只是模拟，不影响客户端真实状态 - 永远别信任
$_COOKIE的原始值——它没签名、没加密、可被用户篡改，权限类判断必须查数据库或验 HMAC 签名
path 和 domain 设错会导致 Cookie “设了却读不到”
Cookie 的可见性由 path 和 domain 共同决定，设错就等于“发到了隔壁房间”：
-
path默认是当前脚本所在路径，比如/admin/login.php调用setcookie('token', 'abc')，默认path='/admin/'，那么/api/下的脚本收不到 - 全站通用必须显式写
path='/'；限定子目录如购物车，就写path='/cart/' -
domain默认是当前主机名（如example.com）；跨子域共享（如www.example.com和api.example.com）必须写domain='.example.com'（注意开头的点） - 删除 Cookie 时，
path和domain必须和设置时完全一致，否则旧 Cookie 仍残留
安全参数 secure、httponly、samesite 不是可选项
生产环境不加这些，等于把钥匙挂在门把手上：
-
secure => true：强制 Cookie 只走 HTTPS，HTTP 页面不会发送它（非 HTTPS 环境下设了也无效） -
httponly => true：JS 无法通过document.cookie读取，大幅降低 XSS 泄露风险 -
samesite => 'Lax'或'Strict'：防御 CSRF，PHP 7.3+ 原生支持数组参数传入，老版本只能用header()手动构造 - 过期时间必须是整数时间戳，
time() + 86400正确，'2025-01-01'错误（会被当成 0，立刻过期）
真正容易被忽略的是：samesite 在旧版 PHP 中无法用 setcookie() 数组参数设置，得切到 header('Set-Cookie: ... samesite=Lax; ...')，且日期必须用 GMT 格式（gmdate()），否则浏览器直接拒收。
