ThinkPHP Cookie写入失败主因是HTTP响应头未正确发出：BOM/空行/提前输出导致headers already sent；域名、路径、Secure/SameSite配置不匹配；Runtime目录不可写或磁盘满；浏览器SameSite策略或CDN/反向代理截断响应头。
ThinkPHP 的 Cookie 写入失败，90% 情况不是框架问题，而是服务端响应头被截断、输出提前或客户端域策略拦截导致的。直接改 cookie 配置参数往往无效，得先确认底层 HTTP 响应是否真正发出了 Set-Cookie 头。
为什么 setcookie() 调用成功但浏览器没收到 Cookie
ThinkPHP 的 cookie() 函数最终调用 PHP 原生 setcookie()，但该函数仅在 HTTP 响应头未发送时才生效。一旦有任意输出（空格、BOM、echo、调试 var_dump()、错误警告），就会触发“headers already sent”警告，Set-Cookie 头被丢弃。
- 检查入口文件
public/index.php开头是否有 BOM 或多余空行 - 在控制器中调用
cookie()前加if (headers_sent($file, $line)) { die("headers sent at {$file}:{$line}"); }定位输出位置 - 开启
display_errors = Off（线上环境必须关），否则 PHP 错误会直接输出并破坏响应头 - ThinkPHP 5.1+ 默认开启
output_buffering，但若中间件或钩子中调用了ob_flush()或flush()，仍可能提前输出
Cookie 域名和路径配置不匹配导致写入失败
浏览器按 Domain + Path + Secure + SameSite 四元组校验 Cookie 是否可写入。ThinkPHP 的 cookie() 默认使用 config('cookie') 中的全局配置，但常见误配如下：
-
'domain' => '.example.com'：必须带前导点号，且当前请求域名必须是该域的子域（如www.example.com可写，example.com不可写） -
'path' => '/admin/'：只能被/admin/及其子路径访问，根路径请求无法读取 -
'secure' => true：强制要求 HTTPS，HTTP 站点调用会静默失败（无报错，但浏览器不存） -
'samesite' => 'Strict'：跨站请求（如从微信内嵌页跳转）将不携带 Cookie，建议开发期设为Lax
临时验证可手动构造：cookie('test', 'ok', ['domain' => '', 'path' => '/', 'secure' => false, 'samesite' => 'Lax'])，排除配置干扰。
立即学习“PHP免费学习笔记（深入）”；
ThinkPHP 缓存 Runtime 目录问题间接影响 Cookie 初始化
看似无关，但 ThinkPHP 在首次初始化 Session 或 Cookie 组件时，可能依赖 Runtime 下的缓存文件（如配置合并、模板编译）。若 Runtime 不可写，框架可能降级或抛出静默异常，导致 cookie() 初始化失败 —— 表现为调用无反应、$_COOKIE 始终为空。
- 运行
ls -ld runtime/确认目录存在且权限为drwxr-xr-x或更宽松（如755） - 确认运行 PHP 的用户（如
www-data、nginx、apache）对runtime/有写权限：sudo chown -R www-data:www-data runtime/ - 磁盘空间不足也会导致
runtime/创建失败，进而引发连锁异常：df -h | grep -E '(Use%|mounted)' - Windows 下注意
runtime/目录是否被杀毒软件锁定，或 NTFS 权限未赋予 IIS 用户“修改”权限
浏览器端 SameSite 和第三方 Cookie 限制真实生效
Chrome 80+、Edge 80+、Firefox 69+ 默认启用 SameSite=Lax，Safari 更激进。若你的 ThinkPHP 应用通过 iframe 嵌入、或由其他域名页面跳转进入，Cookie 可能根本不会被发送。
- 打开浏览器开发者工具 → Application → Cookies，看目标域名下是否有对应键值；没有则说明未写入
- Network 标签页中选一个请求 → Headers → Response Headers，搜索
Set-Cookie，确认响应头确实包含且格式合法（如think_cookie=xxx; path=/; domain=.example.com; HttpOnly; SameSite=Lax） - 若只在 localhost 测试，
domain必须留空，否则浏览器拒绝写入（规范规定不能为 localhost 显式设 domain） - 微信内置浏览器、QQ 浏览器等常禁用第三方 Cookie，需引导用户在设置中开启“允许网站保存 Cookie”
真正难排查的是响应头被中间件、CDN 或反向代理（如 Nginx 的 fastcgi_buffering off）意外截断，或者 PHP-FPM 的 buffer_output 关闭导致输出不可控 —— 这类问题不会报错，但 Cookie 就是不出现。
