thinkphp跨子域cookie失效的核心原因是php setcookie()的domain属性规则与浏览器校验机制，必须显式设置以点号开头的合法域名（如'.example.com'），且localhost不支持跨子域cookie。
ThinkPHP 设置 Cookie 跨子域为什么不起作用
核心问题不是 ThinkPHP 本身限制，而是 PHP 的 setcookie() 底层行为 + 浏览器对 Domain 属性的校验规则。当你设 Domain=example.com，浏览器只允许从 example.com 或其子域（如 a.example.com）读取；但若当前请求域名是 www.example.com，而你漏掉开头的点号，写成 Domain=www.example.com，那它就完全不被子域共享。
ThinkPHP 默认用 Cookie::set() 封装，但底层仍调用 setcookie()，所以必须显式传入正确的 domain 参数，不能依赖默认值。
常见错误现象：
- 在
a.example.com设置了 Cookie，但在b.example.com读不到 - 本地开发用
localhost测试时一切正常，上线后跨子域失效 - Chrome 控制台 Network → Cookies 标签里能看到 Cookie，但 JS 的
document.cookie拿不到
ThinkPHP 5/6 中正确配置跨子域 Cookie 的写法
关键不是改框架配置，而是每次写 Cookie 时指定合法的 domain 值。这个值必须以点号开头（.example.com），且不能包含协议或端口。
实操建议：
- 统一提取主域名逻辑，避免硬编码：
$mainDomain = preg_replace('/^www\./', '', $_SERVER['HTTP_HOST']);，再拼成'.' . $mainDomain - ThinkPHP 5.x：
Cookie::set('token', 'abc', ['domain' => '.example.com', 'path' => '/']) - ThinkPHP 6.x：
cookie('token', 'abc', ['domain' => '.example.com', 'path' => '/'])或使用think\facade\Cookie类 - 如果部署在非标准端口（如 8080），
domain仍不能带端口，否则浏览器直接拒绝写入
为什么 localhost 下跨子域 Cookie 总失败
因为浏览器明确禁止对 localhost 设置带点号的 Domain。你写 Domain=.localhost，浏览器会直接忽略该 Cookie —— 这是 RFC 6265 的强制要求，和 ThinkPHP 无关。
开发阶段真实可用的方案只有两个：
- 改 hosts 文件，把
test.example.com和api.example.com都指向127.0.0.1，然后用真实域名访问（如http://test.example.com:8000） - 用 Docker 或 Nginx 反向代理，让所有子域请求都落到同一服务，绕过跨域 Cookie 问题（适合调试）
- 不要试图用
Domain=localhost或Domain=127.0.0.1，它们都不支持子域共享
HTTPS 环境下跨子域 Cookie 的额外约束
如果主站启用了 HTTPS，但某个子域（比如测试环境）还在用 HTTP，那么设置了 secure=true 的 Cookie 在 HTTP 子域下根本不会发送，也读不到。
安全与兼容需权衡：
- 生产环境务必设
'secure' => true，但前提是所有子域都支持 HTTPS（包括跳转逻辑） - ThinkPHP 6 默认根据
$_SERVER['HTTPS']自动判断，但反向代理后可能不准，需手动覆盖：'secure' => (env('APP_ENV') === 'production') -
SameSite默认值在新版浏览器中是Lax，跨子域请求（如表单提交、iframe 加载）可能被拦截，必要时设为'samesite' => ''（空字符串表示禁用）
跨子域 Cookie 最容易被忽略的，其实是主域名提取逻辑是否稳定 —— 比如用户通过 CDN 访问，HTTP_HOST 可能是 CDN 域名，而不是你的业务主域。这时候靠服务器变量推导就不可靠，得结合配置或请求头来判断。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
