ThinkPHP中Cookie未加密或读取失败，主因是cookie.salt未配置或不合规：TP5.1需非空≥32字符salt启用AES-128-CBC加密；TP6还需独立cookie.secret实现签名+加密双校验，密钥变更致旧Cookie失效。
如果您在ThinkPHP中启用Cookie自动加密功能，但发现Cookie未按预期加密或读取失败，则很可能是Cookie加密密钥（salt）未正确配置或不符合安全要求。以下是针对不同ThinkPHP版本配置Cookie加密密钥的具体操作步骤：
一、ThinkPHP 5.1 配置 cookie.salt 密钥
TP5.1 已移除 cookie.encrypt 开关，改由 cookie.salt 控制是否启用 AES-128-CBC 自动加密；该 salt 必须非空且建议长度≥32字符，否则加密将退化为 base64 编码，失去安全性。
1、打开应用根目录下的 config/cookie.php 文件（若不存在可新建）。
2、在返回的数组中添加或修改 'salt' => '32位以上随机字符串' 配置项，例如：'salt' => 'aBcDeFgHiJkLmNoPqRsTuVwXyZ1234567'。
立即学习“PHP免费学习笔记（深入）”；
3、确保该 salt 值不与 app.key 相同，且未提交至版本控制系统——应通过环境变量注入，例如使用 $_ENV['COOKIE_SALT'] 替代硬编码。
4、验证是否生效：调用 think\facade\Cookie::set('test', 'value') 后检查浏览器 Cookie 值是否为不可读的 base64 字符串（非明文）。
二、ThinkPHP 6.x 配置 cookie.salt 与 cookie.secret
TP6 默认启用签名+加密双校验机制，其中 cookie.salt 控制加密密钥生成，cookie.secret 独立控制签名密钥；二者均需显式配置，缺一则导致 Cookie 读取返回 null。
1、打开 config/app.php 文件，定位到 'cookie' => [] 配置块。
2、添加 'salt' => $_ENV['COOKIE_SALT'] ?? 'fallback-32-char-salt-here' 和 'secret' => $_ENV['COOKIE_SECRET'] ?? 'another-32-char-secret' 两项。
3、确认 app.key 在 config/app.php 中已设置且长度为32字符（如未设置，cookie.secret 将 fallback 至 app.key，造成签名与加密密钥耦合）。
4、升级时特别注意：TP6 读取 TP5 写入的 Cookie 会因缺少签名字段而直接返回 null，此时需清空客户端旧 Cookie 或兼容处理。
三、手动注入密钥（适用于容器化或云环境）
为避免密钥硬编码，推荐通过环境变量动态注入密钥，既满足安全审计要求，又便于多环境切换。
1、在部署环境（如 Docker、Nginx + PHP-FPM）中设置系统级环境变量：COOKIE_SALT=9f8e7d6c5b4a3f2e1d0c9b8a7f6e5d4c 和 COOKIE_SECRET=1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p。
2、在 public/index.php 开头处加载环境变量，例如插入：putenv("COOKIE_SALT=" . $_SERVER['HTTP_COOKIE_SALT'] ?: getenv('COOKIE_SALT'));。
3、在配置文件中统一使用 $_ENV['COOKIE_SALT'] 引用，禁止使用 getenv() 直接读取（部分 SAPI 不支持）。
4、验证环境变量是否加载成功：在控制器中执行 var_dump($_ENV['COOKIE_SALT'])，确认输出为预期字符串且长度≥32。
四、密钥安全强度检测与生成
弱密钥会导致加密被暴力破解或侧信道攻击，必须确保 salt 与 secret 符合密码学强度要求：全部由大小写字母、数字及符号组成，无规律可循，且不可复用其他系统密钥。
1、在命令行中执行 PHP 生成 32 字符密钥：php -r "echo bin2hex(random_bytes(16)); echo PHP_EOL;"。
2、或使用 OpenSSL 命令：openssl rand -hex 32，结果截取前32位或直接使用64位（TP6 支持更长密钥）。
3、将生成的两个独立密钥分别存入安全凭证管理服务（如 HashiCorp Vault、AWS Secrets Manager），禁止出现在代码、日志或错误响应中。
4、检查密钥是否含控制字符或空格：若 strlen(trim($key)) !== 32，则视为无效，需重新生成。
五、禁用自动加密并手动控制（特殊场景）
当需要前端 JavaScript 明文读取某 Cookie（如国际化语言标识）时，必须绕过框架自动加密，但需显式关闭加密与签名，并强化其他安全属性。
1、调用 Cookie::set('lang', 'zh-CN', ['raw' => true, 'httpOnly' => false, 'secure' => true, 'sameSite' => 'Lax'])。
2、确保该 Cookie 不携带敏感信息（如用户ID、token），且仅限非认证上下文使用。
3、禁止对同一域名下其他 Cookie 使用 raw => true，防止密钥污染或混淆解密逻辑。
4、在中间件中拦截所有含 raw=true 的写入操作，记录审计日志并触发安全告警。
