PHP设安全Cookie需确保参数全对、时机卡准、环境兜住：必须在任何输出前调用setcookie()，正确设置httponly、secure、samesite等属性，并注意反向代理下HTTPS环境变量的适配。
PHP中设置安全Cookie，关键不是“能不能设”，而是“参数有没有全对、时机有没有卡准、环境有没有兜住”。漏掉httponly或secure，等于把钥匙挂门把手上；在输出后调用setcookie()，等于白写；本地用localhost却硬填domain='.localhost'，等于自废武功。
setcookie() 必须在任何输出前调用
这是最常踩的坑：哪怕前面有一行空格、一个BOM头、一次var_dump()或echo ''，都会触发Warning: Cannot modify header information，Cookie根本发不出去。
- 检查PHP文件是否以
<?php开头，前面**绝对不能有空格或UTF-8 BOM** - 不要在
setcookie()前做任何输出——包括print_r($_COOKIE)、error_log()（除非用ob_start()缓冲） - 调试时用浏览器开发者工具 → Network → Headers → Response Headers，确认是否存在
Set-Cookie字段，而不是只看$_COOKIE有没有值
PHP 7.3+ 推荐用数组参数写法配齐安全属性
传统7参数写法易错、难维护，且低版本不支持samesite。PHP 7.3+ 支持关联数组传参，可显式控制全部关键项，也更易读。
-
expires必须是Unix时间戳，别直接写秒数；用time() + 86400比3600更明确 -
path设为'/'才能跨路径读取；若只给'/admin/'，则/api/下拿不到 -
domain要跨子域共享时，必须写成'.example.com'（开头带点），写example.com或www.example.com都不行 -
secure在生产环境必须为true；但反向代理（如Nginx终止HTTPS）时，需提前在public/index.php里补$_SERVER['HTTPS'] = 'on'，否则失效 -
samesite设'Lax'是平衡兼容性与CSRF防护的务实选择；'Strict'太激进，'None'必须搭配secure => true
示例：
立即学习“PHP免费学习笔记（深入）”；
setcookie('auth_token', urlencode($token), [
'expires' => time() + 86400,
'path' => '/',
'domain' => '.example.com',
'secure' => true,
'httponly' => true,
'samesite' => 'Lax'
]);ThinkPHP等框架需额外注意配置继承逻辑
框架封装了setcookie()，但安全参数不会自动继承全局配置——比如你在config/app.php里开了'httponly' => true，但调用cookie('name', $val)时没传选项，生成的Cookie依然没有HttpOnly标志。
- 全局配置只影响框架内部自动设置的Cookie（如Session ID），不影响你手动调用
cookie()或Cookie::set()的场景 - 显式传参优先级高于全局配置，所以每次调用都应完整写明
'secure'、'httponly'、'samesite' - 加密不是万能的：ThinkPHP开启
auto_encrypt后，值虽被加密，但httponly和secure仍需手动启用，否则加密后的Cookie照样可能被XSS窃取或HTTP明文传输
Cookie值本身不该存敏感信息，更不该替代Session
即使加了httponly和secure，Cookie仍是客户端可控数据。签名或加密只能防篡改，不能防泄露或重放。
- 登录态凭证建议只存随机token，服务端查数据库或Redis验证，而不是把用户ID、角色、权限全塞进Cookie
- 不要用
serialize()+unserialize()存对象——反序列化漏洞风险高；改用json_encode()/json_decode()更安全 - 登出时不仅要删
$_SESSION，还必须用setcookie()将对应Cookie过期时间设为过去（如time() - 3600），否则浏览器仍带着旧token发起请求 - 本地开发用
localhost时，domain必须留空或不设；填'.localhost'会被现代浏览器拒绝，这是RFC硬性限制
真正容易被忽略的，是反向代理环境下secure参数的实效性——它不看你配没配，而看$_SERVER['HTTPS']是不是真的'on'。很多线上问题，根源就在这里。
