ThinkPHP Cookie 中文乱码的根本原因是手动编码与框架自动处理冲突；正确做法是保持 raw=>false、encrypt=>true，由框架自动完成 rawurlencode 和 AES-256 加密，开发者只需传 UTF-8 字符串。
ThinkPHP 的 Cookie 存储中文或特殊字符时，不是靠手动 urlencode 或 base64 编码来“修正”的，而是靠框架底层自动处理 + 配置对齐。直接对值做 URL 编码再传给 cookie()，反而会导致双重编码、读取失败。
为什么中文存进去读出来是乱码或 null？
常见现象：
-
cookie('user', '张三')写入后，cookie('user')返回空或乱码 - 浏览器 DevTools 里看到的 Cookie 值是
%E5%BC%A0%E4%B8%89，但 PHP 读出来却是原始字节串，没被自动解码 - 启用加密后更奇怪：值变成一串看似随机的字符串，但解密失败
根本原因不是“PHP 不支持中文”，而是：
- ThinkPHP 默认对 Cookie 值做
rawurlencode()（非标准 URL 编码），但仅在 未启用加密 且raw => false时才生效 - 一旦开启
auto_encrypt，框架会跳过所有 URL 编码逻辑，直接加密原始字符串（UTF-8 字节流） - 如果你手动先
urlencode('张三')再传进去，加密的就是%E5%BC%A0%E4%B8%89这串 ASCII，解密后还得自己urldecode()—— 容易漏、难维护
正确写法：依赖配置，不手动编解码
ThinkPHP 5.1+ 的 cookie() 函数默认已适配 UTF-8 场景，只要保证三点：
立即学习“PHP免费学习笔记（深入）”；
- 项目文件统一为 UTF-8 编码（无 BOM）
- PHP 运行环境默认字符集是 UTF-8（
default_charset = "UTF-8"在 php.ini 中） - Cookie 配置中不干扰框架的编码逻辑
// config/app.php 或 config/cookie.php 中的推荐配置
'cookie' => [
'prefix' => 'tp_',
'expire' => 3600,
'path' => '/',
'domain' => '',
'secure' => false,
'httponly' => true,
'samesite' => 'Lax',
'raw' => false, // ✅ 关键！保持 false，让框架自动 rawurlencode()
'encrypt' => true, // ✅ 开启加密时，框架自动处理 UTF-8 字节流
'key' => 'your-strong-32-byte-secret-key-here', // 必须 32 字节（AES-256）
],
-
raw => false：框架会对值调用rawurlencode()（比urlencode()更严格，空格变%20而非+），适合 HTTP 头传输 -
encrypt => true+ 合适的key：框架底层用 AES-256-CBC 加密整个 UTF-8 字节串，解密后自动还原原始字符串，无需你干预
示例：
cookie('username', '昆明-小李'); → 浏览器里看到的是加密后字符串（如 QzXv...LmN），但 cookie('username') 读出来就是 昆明-小李
错误做法：手动套一层 urlencode / base64
这些操作不仅多余，而且破坏框架一致性：
cookie('name', urlencode('张三'))
→ 框架再rawurlencode()一次 →%25E5%25BC%25A0%25E4%25B8%2589→ 解码两次才能拿到原文，极易出错cookie('data', base64_encode('{"city":"北京"}'))
→ 加密后变成两层封装 → 解密出来是 base64 字符串，还得再base64_decode()
→ JSON 字段含中文时还可能因 base64 补位（=）被截断直接操作
$_COOKIE或setcookie()
→ 绕过框架前缀、加密、路径/域控制 → 与cookie()读写不互通，出现“设了读不到”
调试时怎么看真实值？
- 浏览器 DevTools → Application → Cookies：看到的是最终发送到浏览器的原始值（加密后 or rawurl 编码后）
- 想确认服务端写入前的原始值？加日志：
\think\facade\Log::info('writing cookie username: ' . $value); cookie('username', $value); - 想看解密后内容？临时关闭加密，设
'encrypt'=>false，再观察 DevTools 里的值是否是rawurlencode后结果（如%E6%98%86%E6%98%8E），然后用rawurldecode()验证
关键点：框架负责编码/加密，你只管传干净的 UTF-8 字符串。任何手动预处理，都是在替框架做它已经做完的事，而且做得不一致。
