Webman跨域Session丢失需四步协同解决：一、前端fetch设credentials: 'include'；二、后端响应头设Access-Control-Allow-Credentials: true且Origin为具体域名；三、session_set_cookie_params()显式配置SameSite=None与secure=true；四、改用Redis等共享存储替代文件存储。
Webman 默认不自动处理跨域 Cookie 传递，Session 共享必须手动对齐前端凭据携带、后端响应头、Cookie 属性和存储驱动四者，缺一不可。
fetch 请求带 credentials 但 $_SESSION 为空怎么办
这不是 Webman 框架 bug，而是浏览器静默拦截了 Cookie。现代浏览器（Chrome 80+、Firefox 79+、Safari 14+）默认把未声明 SameSite 的 Cookie 当作 Lax，而 Lax 会拒绝跨域 POST/PUT 请求携带 Cookie。
- 必须在
session_start()前调用session_set_cookie_params()，显式设'samesite' => 'None'且'secure' => true -
'secure' => true是硬性前提：HTTP 环境下设SameSite=None会被浏览器直接丢弃，开发时用http://localhost必须关掉session.cookie_secure - 别依赖
php.ini中的session.cookie_samesite—— Webman 常用 PHP 7.4/8.0，该 ini 项在这些版本中支持不稳定，代码层覆盖才可靠 - 用浏览器开发者工具 → Application → Cookies 查看实际下发的 Cookie，确认是否含
SameSite=None; Secure
Webman 配置 Access-Control-Allow-Credentials 头失败
Webman 的中间件或控制器里加 header('Access-Control-Allow-Credentials: true') 没用，因为 Webman 默认不透传 Set-Cookie，且 Access-Control-Allow-Origin 若设为 *，浏览器会直接忽略 Access-Control-Allow-Credentials: true。
- 必须在 Webman 的
config/middleware.php或路由中间件中统一设置响应头：return $response->withHeader('Access-Control-Allow-Credentials', 'true')<br> ->withHeader('Access-Control-Allow-Origin', 'https://fe.example.com'); -
Access-Control-Allow-Origin不能是*，必须写死前端完整协议+域名，比如https://admin.example.com - 若用 Nginx 反向代理 Webman（常见于生产部署），必须加
add_header 'Access-Control-Allow-Credentials' 'true' always;和proxy_cookie_domain ~\.?local$ .example.com;，否则 Nginx 会吞掉或覆盖 PHP 设置的头与 Cookie 域 - 确保中间件执行顺序：CORS 头设置必须在 session 启动之后、响应返回之前
Webman 多实例部署时 Session 数据不一致
Webman 默认用文件存储 Session（session.save_handler = files），多进程或多机器部署时，每个 worker 写自己的 tmp 目录，自然读不到别人写的 session。
立即学习“PHP免费学习笔记（深入）”；
- 禁用文件存储：在
config/bootstrap.php或入口文件开头加ini_set('session.save_handler', 'redis');<br>ini_set('session.save_path', 'tcp://127.0.0.1:6379?database=2'); - 所有 Webman 实例（包括 CLI 启动的 worker、定时任务、WebSocket 连接）必须连同一 Redis 实例，且
database编号一致 - 若用数据库存储，需实现
SessionHandlerInterface，避免高并发下锁表；不推荐用 MySQL 存 Session，读写延迟高 - 检查
session.name是否统一：多个 Webman 应用若共用 Redis，但session.name不同（如一个用PHPSESSID，另一个用WEBMANSESSID），Redis key 就不匹配，查不到数据
Webman + phpEnv 下 Cookie domain 总是错乱
phpEnv 自带的 Nginx 默认不重写 Cookie 域名，Webman 返回的 Set-Cookie: PHPSESSID=xxx; Domain=localhost，前端访问的是 https://fe.test，浏览器直接拒收。
- 进 phpEnv 安装目录（如
C:\phpEnv\nginx\conf\vhost\your-site.conf），在location /块内加：proxy_cookie_domain ~\.?localhost$ .test;<br>proxy_cookie_path / /;<br>add_header 'Access-Control-Allow-Origin' 'https://fe.test' always;<br>add_header 'Access-Control-Allow-Credentials' 'true' always;
-
proxy_cookie_domain的正则必须匹配 Webman 实际返回的原始Domain值，比如返回的是Domain=127.0.0.1，就得写~\.?127\.0\.0\.1$ - Webman 代码里也要同步设
session_set_cookie_params(['domain' => '.test'])，前后端双保险 - 本地开发严禁设
domain为.localhost或localhost—— 浏览器不认，必须留空''或用真实可配的域名如.test
最易被忽略的是：SameSite=None 和 secure=true 必须同时出现，且仅 HTTPS 生效；Nginx 的 always 参数漏掉会导致 302 跳转时 CORS 头丢失；Redis 的 database 编号不一致会让多个 Webman 实例互看不见 session。
