ThinkPHP中Cookie语言切换必须严格使用think_lang键名并配全参数，否则Lang中间件无法识别；推荐统一用Cookie::set()，注意domain/path/secure/httponly等关键配置需显式传入，且加密需手动添加HMAC签名防篡改。
cookie() 函数和 Cookie::set() 门面是 ThinkPHP 中操作 Cookie 的两个主要入口，但直接调用不加参数或忽略配置项，大概率导致跨子域失效、HTTPS 下丢失、JS 读不到或 Lang 中间件不识别——问题不在“会不会用”，而在“参数配不配对”。
必须用 think_lang 键名才能触发多语言切换
Lang 中间件只认 $_COOKIE['think_lang']，设成 lang、language 或 i18n_lang 全无效。即使你用 cookie('lang', 'en-us') 写进去了，中间件启动时也完全无视。
- 正确写法：
cookie('think_lang', 'en-us', ['expire' => 86400, 'path' => '/', 'domain' => '.example.com']) - 如果部署在子目录（如
/shop/），path必须显式写成'/shop/'，不能留默认'/' - HTTPS 环境下漏掉
'secure' => true，浏览器会拒绝发送该 Cookie，语言切换就静默失败 - 伪静态规则若未透传 query string（比如 Nginx 缺
$args），?lang=zh-cn参数根本到不了 PHP 层，Lang::detect()也就无从触发
Cookie::set() 和 cookie() 助手函数参数不互通
两者底层驱动相同，但初始化逻辑和参数继承规则不同：cookie('key', 'val', $opt) 完全依赖你传的 $opt，不会自动补全局配置里的 domain 或 path；而 Cookie::set() 虽可继承部分配置，但 httponly、secure 这类关键项仍需显式传入，否则按 null 处理——TP6.3+ 里这可能被解释为 false，导致 JS 可读。
- 推荐统一用
Cookie::set()，语义清晰且便于 IDE 提示 - 若混用，务必保证每次调用都带全参数：
['expire', 'path', 'domain', 'secure', 'httponly'] - 前缀隔离建议用
Cookie::prefix('i18n')->set('lang', 'ja')，生成的实际键是i18n_lang，避免和第三方组件冲突 - 删旧写新时，
domain和path必须严格一致，否则旧 Cookie 不会被覆盖，而是并存
加密不是开关一开就万事大吉
ThinkPHP 6 默认开启 cookie.encrypt，但它只 AES 加密值，不保护键名，也不带签名；httponly 是独立开关，默认为 false，不手动设就等于把加密后的 Cookie 暴露给 JS。
- 防篡改必须靠 HMAC：框架原生不提供带签名的加密，得自己拼
$ciphertext.'|'.hash_hmac('sha256', $ciphertext, $secret_key) - 密钥必须 32 字节以上，且严禁硬编码；推荐从环境变量读：
'secret_key' => $_ENV['COOKIE_SECRET'] ?? '' - 反向代理后 HTTPS 检测常失效，
secure => true可能白配；应在public/index.php开头强制设$_SERVER['HTTPS'] = 'on' - 调试时用
Cookie::getRaw('think_lang')查原始密文，比Cookie::get()更早暴露解密失败问题
Lang 中间件读取时机不可逆
语言切换不是“设完 Cookie 就刷新页面”，Lang 中间件只在请求生命周期最开始读一次 $_COOKIE['think_lang']，之后改 Cookie、调 Lang::setLang() 都不影响已加载的语言包和已渲染的模板变量。
立即学习“PHP免费学习笔记（深入）”；
- 控制器里执行
Lang::setLang('en-us')只影响后续lang('key')调用，对已赋值的{$Think.lang.key}无效 - 前端切换语言，建议跳转而非局部刷新；若必须局部刷新，得让接口返回新翻译内容，而非依赖中间件重载
- 语言包路径必须全小写（
lang/en-us/common.php），Linux 服务器上EN-US会静默失败 - 中间件注册顺序很重要：必须在
SessionInit之后、路由解析之前运行，否则 Cookie 读不到
cookie('think_lang', 'zh-cn')，而是确保这一行发出的响应头里，Set-Cookie 带着正确的 Domain、Path、Secure、HttpOnly，且服务端读取时用的是同一套解密密钥和路径规则——差一个点，就跨不过去。 
