ThinkPHP 6.0 跨域携带 Cookie 失败，须同时满足三条件：响应头中 Access-Control-Allow-Origin 必须为具体域名（非 *）且配 Access-Control-Allow-Credentials: true；Cookie 属性需设 domain（带点前缀）、secure（HTTPS 下必开）、samesite: 'None'；前端请求必须显式声明 credentials: 'include'。
ThinkPHP 6.0 配置 CORS 后 Cookie 无法携带，不是“开了跨域就自动带 Cookie”，而是前后端在三个关键环节必须严格对齐：响应头策略、Cookie 属性设置、前端请求声明。漏掉任一环，浏览器都会静默丢弃 Cookie，导致登录态丢失、Session 读不到、验证码失效等问题。
响应头必须同时满足两个硬性条件
只设 Access-Control-Allow-Origin: * 或只设 Access-Control-Allow-Credentials: true 都无效，二者必须共存且互斥约束：
-
Origin 不能为 *：必须动态读取请求头中的
Origin，并仅当它在白名单内时，才设置Access-Control-Allow-Origin为该具体值（如https://admin.example.com或http://localhost:3000） -
Credentials 必须显式开启：同一响应中必须包含
Access-Control-Allow-Credentials: true - 中间件里不能用
header()函数，必须操作 PSR-7 响应对象：$response->header('Access-Control-Allow-Origin', $origin)->header('Access-Control-Allow-Credentials', 'true')
Cookie 自身属性要兼容跨域场景
即使响应头全对，如果 Cookie 带了不兼容的属性，浏览器根本不会发送它：
-
domain 必须带前导点：如需跨子域共享（
a.example.com↔api.example.com），配置中需写'domain' => '.example.com'；若只限当前域名，留空或写精确域名（如'domain' => 'localhost'） -
secure 和 samesite 必须匹配环境：HTTPS 环境下
secure => true是强制的；Chrome 80+ 要求跨域 Cookie 的samesite显式设为'None'，且必须搭配secure => true - TP6 中可在
config/cookie.php统一配置，或调用cookie('name', $val, ['domain'=>'.example.com', 'secure'=>true, 'samesite'=>'None'])单独指定
前端请求必须主动声明凭证
后端配得再准，前端不“开口要”，浏览器就不会附带 Cookie：
立即学习“PHP免费学习笔记（深入）”；
- fetch 请求必须加
credentials: 'include'（不能省略，也不能写'same-origin'） - axios 需设
withCredentials: true - jQuery AJAX 需设
xhrFields: { withCredentials: true } - 注意 Origin 值必须和后端白名单完全一致：协议（http/https）、域名、端口缺一不可
排查时优先验证 Cookie 是否真正写入
很多问题其实卡在 Cookie 根本没发出去，而不是跨域没配好：
- 打开浏览器开发者工具 → Application → Cookies，确认目标域名下是否存在该 Cookie（如
think_lang或PHPSESSID） - 用原生
setcookie('test', 'ok', 0, '/', '', true, true)测试，绕过框架看是否能写入——能则说明是 TP6 配置或中间件干扰 - 检查是否有输出提前触发 header 发送（BOM、空格、echo、dump），导致 setcookie 失效
