setcookie() 失败主因是响应头已发送，需确保无任何输出（含BOM、空格）、用headers_sent()定位问题；安全设置需指定expires、secure、httponly、samesite等参数；$_COOKIE只读且不实时更新，删除需设过期时间。
PHP 操作 Cookie 不需要额外扩展，但必须在任何输出（包括空格、BOM、echo）之前调用 setcookie()，否则会报 “headers already sent” 错误。
为什么 setcookie() 会失败？
最常见原因是响应头已发送——哪怕开头多了一个空行、UTF-8 BOM 或提前的 echo "" 都会导致失败。浏览器不会报错，但开发者工具里看不到 Set-Cookie 响应头，$_COOKIE 也读不到新值。
- 检查 PHP 文件是否以 UTF-8 无 BOM 格式保存
- 确认
setcookie()调用前没有任何输出（包括print、var_dump()、HTML 标签） - 用
headers_sent($file, $line)定位具体哪一行触发了输出 - 开发阶段可临时开启
output_buffering = On缓冲输出（不推荐生产环境依赖）
setcookie() 的关键参数怎么设才安全？
默认参数极不安全：不设 $expires 就是会话级 Cookie；不设 $secure 和 $httponly 就可能被 JS 窃取或 HTTP 明文传输。
-
setcookie('user_id', '123', ['expires' => time() + 86400, 'path' => '/', 'domain' => '.example.com', 'secure' => true, 'httponly' => true, 'samesite' => 'Lax'])是较稳妥的写法 -
domain带前导点（如'.example.com'）才允许子域名共享；不填则仅当前主机生效 -
samesite推荐'Lax'（防 CSRF 同时兼容 GET 导航），'Strict'过于激进，'None'必须配secure => true - 过期时间用
time() + 秒数，不是相对字符串（如'+1 day'在旧 PHP 版本中不可靠）
读取和删除 Cookie 的注意事项
$_COOKIE 是只读超全局数组，它反映的是请求头里的原始 Cookie 字符串，不会自动更新你刚用 setcookie() 设置的值——要下一次请求才生效。
立即学习“PHP免费学习笔记（深入）”；
- 读取：
if (isset($_COOKIE['theme'])) { $theme = $_COOKIE['theme']; }—— 务必用isset()判断，避免未定义索引警告 - 删除：调用
setcookie('cart_items', '', ['expires' => 1])，把过期时间设为过去的时间戳（如1）即可，不需要清空$_COOKIE数组 - 敏感值（如 token）不要存进 Cookie，即使加了
httponly，也要配合服务端 session 校验
Cookie 不是存储引擎，它受 4KB 大小限制、每次请求都会携带、且无法保证客户端不篡改。真正要持久化用户状态，优先走 $_SESSION；Cookie 只适合存轻量、非关键、有明确过期策略的标识类数据。
