ThinkPHP不自动读取.env中的COOKIE_DOMAIN，需在config/cookie.php（TP8）或config/app.php（TP6）中显式调用env('COOKIE_DOMAIN', '')获取并赋值给domain配置项，且值应为example.com（不加点），框架会自动补前导点；HTTPS下必须同步设COOKIE_SECURE=true。
ThinkPHP 的 .env 文件里怎么写 Cookie 域名配置
ThinkPHP 本身不直接从 .env 读取 cookie_domain 这类字段，它默认只识别框架内置的环境变量（如 APP_DEBUG、DB_HOST）。你手动在 .env 里加 COOKIE_DOMAIN=example.com，框架不会自动把它塞进 Cookie 配置里。
所以必须自己“接住”这个值，并注入到 Cookie 配置中。常见做法是在 config/cookie.php 中读取：
return [
'domain' => env('COOKIE_DOMAIN', ''),
'secure' => env('COOKIE_SECURE', false),
'httponly' => true,
'samesite' => 'Lax',
];
-
env('COOKIE_DOMAIN', '')是关键——它从.env读取COOKIE_DOMAIN，没定义就留空（此时 Cookie 默认作用于当前域名） - 注意：不能写成
COOKIE_DOMAIN=.example.com（带点前缀），ThinkPHP 5.1+ 内部会自动补点；如果手动加了，可能触发双点（如..example.com），导致浏览器拒绝写入 - 开发时设为空字符串或
localhost，上线再切为正式域名，避免跨域失效
为什么 Cookie domain 设错会导致登录态丢失
典型现象是：登录成功后跳转回首页，thinkphp_session Cookie 没带上，session_id() 每次都变，用户反复被登出。
原因通常是域名匹配失败。浏览器只会在请求域名完全匹配或满足子域规则时才发送 Cookie：
立即学习“PHP免费学习笔记（深入）”；
- 设
domain=example.com→ 可用于example.com、www.example.com、api.example.com - 设
domain=localhost→ 仅匹配localhost，不匹配127.0.0.1或dev.localhost - 设为空（
''）→ 浏览器按完整主机名匹配，www.example.com和example.com被视为不同域
尤其在本地用 nginx 反代多个子服务时，务必统一 domain 值，否则前端发请求时 Cookie 根本不会附带过去。
ThinkPHP 6 和 ThinkPHP 8 的配置位置差异
TP6 把 Cookie 配置挪到了 config/app.php 的 'cookie' => [...] 子数组里；TP8 则回归为独立的 config/cookie.php 文件。但读取逻辑一致：
- 都要显式调用
env('COOKIE_DOMAIN')，不能依赖框架自动映射 - TP8 的
cookie.php默认已含'domain' => env('COOKIE_DOMAIN', ''),，可直接改.env - TP6 若你用的是旧版模板（没更新 config），容易漏掉这行，结果始终用默认空值
检查方法：在控制器里打一行 dump(config('cookie.domain'));，看输出是否和 .env 里写的完全一致。
HTTPS 环境下 cookie_secure 必须同步开启
如果部署在 HTTPS 站点，但 COOKIE_SECURE=false（或没配），Chrome/Firefox 会静默丢弃该 Cookie，且控制台不报错——这是最隐蔽的坑。
- 线上环境务必在
.env中设COOKIE_SECURE=true，并确保 Web 服务器（Nginx/Apache）正确透传HTTPS头 - ThinkPHP 不会自动检测是否 HTTPS，它只认配置项；哪怕你在 Nginx 里加了
fastcgi_param HTTPS on;，PHP 层仍需明确告诉 Cookie：“请只走加密通道” - 本地开发用 HTTP 时，
COOKIE_SECURE必须为false，否则 Cookie 写不进去
真正麻烦的不是配置本身，而是前后端共用一套 .env 时，容易把 COOKIE_SECURE=true 提交到测试环境，而测试环境又没配全 HTTPS，结果整个登录流程卡死——这种问题得靠部署脚本或 CI 环境变量覆盖来隔离。
