thinkphp cookie 无法跨子域共享的根本原因是默认 domain 为完整域名，解决需统一设为 '.example.com' 并确保 https；跨域请求需前后端配合开启 credentials 和 cors 配置；升级 8.0+ 要注意配置项变更及 samesite、secure 等关键字段显式声明。
ThinkPHP 域名绑定后 Cookie 无法跨子域共享
根本原因是 Cookie::set() 默认写入的 domain 是当前完整域名（如 admin.example.com），而绑定后不同模块可能跑在 api.example.com 和 www.example.com，彼此看不到对方的 Cookie。
解决思路不是关掉域名绑定，而是显式控制 Cookie 的作用域：
- 在
config/cookie.php中设置'domain' => '.example.com'（注意开头的点） - 确保所有子域都走 HTTPS，否则浏览器会拒绝写入带
Secure标志的跨域 Cookie - 如果用了
Cookie::set('name', 'val', ['domain' => '.example.com'])手动写入，必须和配置一致，否则以手动为准 - 开发环境用
localhost时无法设domain（浏览器策略限制），建议切到test.example.com类似域名调试
ThinkPHP 跨域请求下 Cookie 不随 XHR 发送
这不是 ThinkPHP 的锅，是浏览器对 XMLHttpRequest 的默认行为：不带凭证（包括 Cookie）。服务端即使开了 CORS，客户端不主动声明，Cookie 就不会发过去。
前后端要配合改：
- 前端发请求时加
credentials: 'include'（fetch）或withCredentials: true（axios/jQuery.ajax） - 后端
config/cors.php必须明确指定'allow_origin' => ['https://front.example.com']，不能用*—— 否则浏览器禁止附带凭证 -
Access-Control-Allow-Credentials: true响应头必须存在，ThinkPHP 的 CORS 中间件默认不开，需手动开启 - 如果用 Nginx 做反向代理统一域，反而能绕过这个限制，但会掩盖真实跨域问题
ThinkPHP 8.0+ 的 cookie 配置项和旧版差异
8.0 开始把 Cookie 管理从 think\facade\Cookie 移到了 think\helper\Cookie，且默认配置结构变了，老项目升级容易漏掉关键字段。
重点核对这些配置项是否显式声明：
-
'httponly' => true：防止 XSS 读取，但不影响跨域发送逻辑 -
'secure' => env('APP_SECURE', false)：生产环境必须为true，否则 HTTPS 下 Cookie 不会被发送 -
'samesite' => 'Lax'：新版默认值，若需要跨站 POST 提交（如扫码登录回调），得改成'None'，但必须同时配'secure' => true -
'path' => '/'：别写成'/admin'，否则 API 子域拿不到
调试时怎么确认 Cookie 到底有没有发出去
别只看响应头里的 Set-Cookie，那是服务端想设的；要看浏览器实际存了没、发没发，得盯 Network 面板的两个地方：
- 选中请求 → Headers 标签页 → Request Headers → 看有没有
Cookie: xxx - 同个请求 → Response Headers → 看
Set-Cookie的Domain、Path、Secure是否符合预期 - Application → Cookies → 点开对应域名，确认条目是否存在、
Domain列是否显示为.example.com - 如果看到 Cookie 显示为
(session)或路径是/admin/，说明写入时没覆盖默认配置
跨域场景下最常卡在“服务端以为设成功了，浏览器压根没收”，所以必须三处都对得上。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
