要在ThinkPHP 6.0中真正启用Session与Cookie的安全防护，必须绕过默认配置陷阱——框架不自动开启secure和httponly，哪怕你已部署在HTTPS环境，PHPSESSID仍可能被JavaScript读取或明文传输，直接暴露会话凭证。
Session初始化与安全配置
第一步：确认Session中间件已启用。打开app/middleware.php，检查是否包含\think\middleware\SessionInit::class。漏掉这行，Session根本不会启动，后续所有操作都无效。
第二步：进入config/session.php，修改存储驱动与生命周期参数。将'type' => 'file'改为'type' => 'redis'（若已部署Redis），并确保'auto_start' => true。文件存储易受目录遍历攻击，且无法跨服务器共享，生产环境必须换掉。
第三步：关键安全项——设置'use_strict_mode' => true。此选项强制拒绝未知Session ID，防止会话固定攻击。不加它，攻击者可预生成ID诱导用户登录，再劫持该会话。
第四步：调整'expire' => 1440为'expire' => 1800（30分钟）。过长的会话窗口增加被盗用风险；过短则影响用户体验。1800是兼顾安全与可用的折中值。
立即学习“PHP免费学习笔记（深入）”；
Cookie全局安全配置入口
ThinkPHP 6.x 的 Cookie 安全配置**唯一生效位置**是config/app.php中的'cookie' => []数组。改config/cookie.php或config/cache.php完全无效——框架压根不读这些文件。
方法一：直接写死安全参数
打开config/app.php，找到'cookie' => []块，在其中添加以下四行：
'secure' => true,
'httponly' => true,
'samesite' => 'Lax',
'domain' => '.yourdomain.com',
【domain前必须加点号】，否则子域名（如api.yourdomain.com）无法共享Cookie，导致登录态断裂。
方法二：反向代理场景下强制HTTPS识别
若使用Nginx终止HTTPS后以HTTP转发给PHP（常见部署），框架检测不到HTTPS，'secure' => true会被自动忽略。此时必须在public/index.php最开头插入：
if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
$_SERVER['HTTPS'] = 'on';
}
这行代码必须放在require __DIR__ . '/../vendor/autoload.php';之前，否则无效。
运行时Cookie设置的安全写法
控制器中调用Cookie::set()时，传入的选项不会自动继承全局配置。例如：Cookie::set('token', 'abc', 3600)——这行代码生成的Cookie既无Secure也无HttpOnly标志，等于裸奔。
正确写法是显式传入安全选项：
Cookie::set('token', 'abc', 3600, [
'secure' => true,
'httponly' => true,
'samesite' => 'Lax'
]);
注意：'samesite' => 'None'时，'secure' => true是强制要求，否则浏览器直接拒绝设置该Cookie。
这一步操作起来很简单，直接把选项数组补全就行，但漏掉任何一个键，就等于放弃对应维度的防护。
