PHP操作Cookie需严格遵循规则：setcookie()必须在任何输出前调用，否则因“headers already sent”而失效；务必使用UTF-8无BOM编码，避免空格、BOM、echo或HTML注释干扰。
PHP操作Cookie不是“存进去就完事”，关键在写对、读准、删干净，且不能忽略安全上下文。用错参数或时机，Cookie可能根本没发出去，或者被JS偷走、被中间人截获。
setcookie() 必须在任何输出前调用
这是最常踩的坑：哪怕顶部多一个空格、BOM头、echo '' 或 HTML 注释，都会触发 headers already sent 错误，导致 setcookie() 失效。
- 检查文件是否以 UTF-8 无 BOM 格式保存（尤其 Windows 编辑器容易带 BOM）
- 确保
setcookie()出现在<?php开始后第一行逻辑位置，前面无空白、无print、无var_dump - 如果用了模板引擎或框架，确认没有前置输出（比如自动包含的 config.php 里 echo 了调试信息）
删除 Cookie 时 path/domain/secure/httponly 必须完全一致
只改过期时间是不够的。setcookie('token', '', time() - 3600) 看似删了，但如果原始设置指定了 path='/admin' 或 domain='.example.com'，而删除时没传，浏览器会保留原 Cookie，新旧并存。
- 原始设置是
setcookie('theme', 'dark', ['path' => '/user', 'domain' => '.site.dev', 'secure' => true, 'httponly' => true]) - 删除时必须复刻全部选项：
setcookie('theme', '', ['expires' => time() - 3600, 'path' => '/user', 'domain' => '.site.dev', 'secure' => true, 'httponly' => true]) - 漏掉
secure或httponly，在 HTTPS 环境下可能完全不生效
读取前必须用 isset() 判断，不能直接访问 $_COOKIE
$_COOKIE['user_id'] 在未设置时会触发 PHP Notice，且可能被用于注入攻击（比如构造恶意键名）。更严重的是，用户可手动修改 Cookie 值，所以不能无条件信任。
立即学习“PHP免费学习笔记（深入）”；
- 永远先判断：
if (isset($_COOKIE['user_id'])) { $id = (int)$_COOKIE['user_id']; } - 对读取值做类型转换或过滤：
htmlspecialchars($_COOKIE['theme'] ?? '')防 XSS 输出 - 不要用
$_COOKIE直接拼 SQL 或文件路径；敏感操作（如权限校验）应以 session 或服务端 token 为准
Secure + HttpOnly + SameSite 是上线必备组合
不设 secure，Cookie 会在 HTTP 明文传输，极易被嗅探；不设 httponly，XSS 攻击可直接盗取；不设 samesite，跨站请求可能意外携带 Cookie，引发 CSRF。
- 开发环境可暂不启用
secure，但上线前必须加：'secure' => true -
'httponly' => true应始终开启，阻断 JS 访问（document.cookie拿不到） -
'samesite' => 'Lax'是较平衡的选择（Strict可能影响第三方 OAuth 流程）；注意samesite是 PHP 7.3+ 数组选项支持，旧版本需用header()手动发头
真正难的不是语法，而是每次设置都得同步维护路径、域名、安全标志——少一个，就可能让 Cookie 在某个子目录失效，或在 HTTPS 页面里悄悄消失。别依赖“试一下”，把参数写进配置常量或封装函数里，比每次手敲更可靠。
