session_set_cookie_params()必须在session_start()前调用，否则httponly等参数无效；正确顺序是先设参数再启动会话，且需确保无任何输出。
PHP 8.2 中 session_set_cookie_params() 必须在 session_start() 前调用
这是最常踩的坑：一旦 session_start() 执行过，再调用 session_set_cookie_params() 就完全无效。PHP 不会报错，但 HttpOnly 标志根本不会写入 Set-Cookie 头。
正确顺序只有这一种：
-
session_set_cookie_params()（带httponly => true） session_start()
示例代码（必须放在脚本最顶部，无任何输出前）：
<?php
session_set_cookie_params([
'lifetime' => 0,
'path' => '/',
'domain' => '',
'secure' => true, // 生产环境建议开启
'httponly' => true, // 关键：启用 HttpOnly
'samesite' => 'Lax'
]);
session_start();
$_SESSION['user_id'] = 123;
?>
php.ini 中启用 session.cookie_httponly 是更稳妥的全局方案
如果你控制服务器配置，直接改 php.ini 比每次手动调用函数更可靠——它不受执行顺序影响，且对所有会话生效。
立即学习“PHP免费学习笔记（深入）”；
找到并修改以下两行（注意：值必须是 On 或 1，不是 true）：
session.cookie_httponly = On-
session.cookie_secure = On（配合 HTTPS 使用）
改完需重启 PHP-FPM 或 Web 服务器（如 Apache/Nginx）。验证方式：访问页面后，在 Chrome 的 Network → Response Headers 中搜索 Set-Cookie，确认包含 HttpOnly 字样。
setcookie() 设置自定义 Cookie 时 httponly 参数位置已变（PHP 7.3+）
PHP 8.2 不再推荐老式七参数签名 setcookie($name, $value, $expire, $path, $domain, $secure, $httponly)，而是强制使用数组形式的 $options 参数。
错误写法（PHP 8.2 会警告或忽略）：
setcookie('token', 'abc123', time()+3600, '/', '', true, true); // ❌
正确写法：
setcookie('token', 'abc123', [
'expires' => time() + 3600,
'path' => '/',
'domain' => '',
'secure' => true,
'httponly' => true, // ✅ 这里才是 HttpOnly 开关
'samesite' => 'Strict'
]);
HttpOnly 生效但 Application 面板看不到？这是正常行为
Chrome、Firefox、Edge 等现代浏览器从 2021 年起默认不在「Application」→「Cookies」面板中显示 HttpOnly Cookie——这不是 bug，是安全设计。开发者容易误以为“没设置成功”，其实只要满足以下任一条件，就说明已生效：
- Network → Response Headers 中有
Set-Cookie: ...; HttpOnly - 后续请求的 Request Headers 中自动携带了该 Cookie（
Cookie: token=abc123） -
document.cookie里查不到该 Cookie 名称（JS 无法读取）
真正容易被忽略的是：即使设置了 httponly => true，如果响应头中同时存在同名非-HttpOnly Cookie（比如前端 JS 调用 document.cookie = "token=..."），浏览器可能按策略覆盖或忽略服务端设置——务必确保前后端不冲突写同一 Cookie 名。
