CakePHP Cookie 必须显式配置 secure=true 和 httpOnly=true，入口在 config/app.php 的 'Cookie' 数组；反向代理需强制 $_SERVER['HTTPS'] 或写死配置，且键名严格为 httpOnly（驼峰）。
CakePHP 的 Cookie 默认不带 Secure 和 HttpOnly，必须显式配置，否则敏感会话或认证 Cookie 可能被中间人窃取或 XSS 读取。
cakephp/src/Controller/Component/CookieComponent.php 中的 secure 和 httponly 参数怎么设
CakePHP 4.x / 5.x 的 CookieComponent 配置入口在 config/app.php 的 'Cookie' => [] 块里，不是控制器内硬编码。漏掉这里，哪怕调用 set() 方法也容易被全局策略覆盖。
- 打开
config/app.php，找到'Cookie' => []数组 - 确保包含
'secure' => true（仅 HTTPS 发送）和'httponly' => true（JS 无法访问document.cookie） - 若部署在反向代理后（如 Nginx 终止 HTTPS），还需加
'httpOnly' => true（注意拼写是httpOnly，非httponly）和'secure' => true—— CakePHP 不自动检测代理头，必须写死 -
'samesite' => 'Lax'可选，防 CSRF；设为'None'则'secure' => true必须同时启用
调用 $this->Cookie->set() 时 secure 和 httponly 不生效的常见原因
运行时调用 $this->Cookie->set('token', 'abc', $options) 时，$options 不会自动继承全局配置，secure 和 httpOnly 必须显式传入，否则按默认 false 处理。
- 错误写法：
$this->Cookie->set('auth', $val)→ 没传secure/httpOnly，全走默认值 - 正确写法：
$this->Cookie->set('auth', $val, ['secure' => true, 'httpOnly' => true, 'expires' => '+1 hour']) - 注意：CakePHP 的键名是
httpOnly（驼峰），不是httponly；写错会导致参数被忽略 - 如果用了
encrypt选项，secure和httpOnly仍需单独声明，加密不自动启用安全标志
反向代理下 Secure 标志始终不出现的调试路径
浏览器 DevTools 显示 Cookie 缺少 Secure，但服务器明明跑在 HTTPS 上——根本原因是 CakePHP 依赖 $_SERVER['HTTPS'] === 'on' 或 $_SERVER['REQUEST_SCHEME'] === 'https' 判断协议，而 Nginx/Apache 反向代理常把请求以 HTTP 形式转发给 PHP-FPM，导致检测失败。
立即学习“PHP免费学习笔记（深入）”；
- 最可靠解法：在
webroot/index.php开头插入强制声明（比任何配置都早）：if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') { $_SERVER['HTTPS'] = 'on'; } - 次选方案：在
config/app.php的 Cookie 配置中直接写死'secure' => true，绕过运行时判断 - 验证是否生效：用 curl 查看响应头：
curl -I https://yoursite.com，确认Set-Cookie字段含; Secure; HttpOnly - 别信
$request->isHttps()的返回值——它和 Cookie 组件生成逻辑不同步，不能作为配置依据
真正容易被忽略的是：CakePHP 的 httpOnly 键名大小写敏感，且反向代理场景下必须双保险——既改配置又修 $_SERVER 环境变量，少一步都可能让 Secure 标志消失。
