ThinkPHP中Cookie加密与安全设置在不同版本的演进差异-ThinkPHP-PHP中文网

ThinkPHP 5.1 移除了 cookie.encrypt 配置，改由 cookie.salt 控制自动加密（AES-128-CBC），TP6 则默认启用签名+加密双校验，密钥变更将导致旧 Cookie 失效。

thinkphp中cookie加密与安全设置在不同版本的演进差异

ThinkPHP 5.1 的 `cookie.encrypt` 配置已失效

TP5.1 开始，cookie.encrypt 配置项被移除，不再控制 Cookie 加密开关。它被更底层的加密机制替代：所有写入 Cookie 的值默认经过 think\facade\Cookie 的 set() 方法自动加密（前提是配置了 cookie.salt 且未显式传入 raw=true）。

常见错误现象是：升级到 5.1 后发现 Cookie 看起来“没加密”，其实是你用 setcookie() 或 header('Set-Cookie:...') 手动设置的——这些绕过了框架加密逻辑；或者你在 set() 时加了 ['raw' => true] 参数，主动关闭了编码和加密。

cookie.salt 必须非空（建议 32 字符以上随机字符串），否则加密退化为 base64 编码
加密使用的是 AES-128-CBC，密钥由 cookie.salt 和应用密钥 app.key 混合生成，不可单独替换 salt
如果需要明文 Cookie（如给前端 JS 读取），必须显式传 ['raw' => true, 'httpOnly' => false]，但此时完全不加密、不签名

ThinkPHP 6.x 的 `Cookie` 类默认启用签名 + 加密双校验

TP6 把 Cookie 安全拆得更细：set() 默认既加密又签名，读取时先验签再解密。签名密钥独立于加密密钥，由 cookie.secret 控制（若未设置，则 fallback 到 app.key）。

典型踩坑点：从 TP5 升级到 TP6 后，旧 Cookie 无法读取。这是因为 TP6 默认开启签名，而 TP5 写入的 Cookie 没有签名字段，get() 会直接返回 null。

兼容旧 Cookie：在配置中设 'cookie' => ['sign' => false]，临时关闭签名验证（仅用于迁移期）
不要把 cookie.secret 设为空字符串，这会导致签名逻辑跳过，但加密仍生效，容易误判为“没起作用”
TP6 中 cookie.raw 配置项已废弃，是否 raw 只能靠 set() 的参数控制

TP5.1 与 TP6 的 `cookie.domain` 行为差异影响跨子域共享

两者都支持 cookie.domain 配置，但解析逻辑不同：TP5.1 要求必须以 . 开头（如 .example.com），否则不生效；TP6 会自动补前导点，example.com 和 .example.com 效果一致。

实际问题常出现在本地开发：设成 localhost，结果 Chrome 拒绝写入（因不符合 Cookie domain 规范），而 TP5.1 不报错、TP6 在 debug 模式下会抛 InvalidArgumentException 提示 “Invalid cookie domain”。