setcookie() 必须在任何输出前调用，否则因响应头已发送而失败；expires需为unix时间戳（如time()+3600），path/domain必须完全一致才能读取或删除，httponly和secure应启用以保障安全。
setcookie() 必须在任何输出（包括空格、BOM、HTML）之前调用，否则直接失败且无错误提示；有效期、路径、域名不匹配会导致读不到或删不掉 Cookie。
setcookie() 调用失败的典型表现和硬性前提
常见错误现象是浏览器开发者工具里看不到 Set-Cookie 响应头，$_COOKIE 为空，但脚本没报错。本质原因是 PHP 已经向浏览器发送了 HTTP 响应体（哪怕只是开头一个空格或 UTF-8 BOM），导致无法再写入响应头。
- 确保
setcookie()出现在所有echo、print、HTML 标签、甚至空白行之前 - 检查文件是否以 UTF-8 无 BOM 格式保存（尤其 Windows 编辑器容易带 BOM）
- 如果用了模板或框架，确认没有前置输出（比如
require的配置文件末尾有换行） - 可通过
headers_sent($file, $line)检查是否已发头，并定位到具体哪一行
expires 参数必须是 Unix 时间戳，不是秒数
很多人误把 3600 当作“1 小时后过期”，但 setcookie('a', 'b', 3600) 实际设的是 1970 年 1 月 1 日之后第 3600 秒（即 1970-01-01 01:00:00），属于过去时间 → 立即失效。
- 正确写法是
time() + 3600（1 小时后）、time() + 86400 * 7（7 天后） - 设为
0表示“会话级 Cookie”，浏览器关闭即丢，不写磁盘 - 若想永久（实际是 2038 年前），可用
strtotime('+10 years')，避免硬编码大数字
path 和 domain 不一致就等于不同 Cookie
Cookie 的作用域由 name + path + domain 共同决定。三者任意一个不同，就是另一个独立 Cookie，覆盖/删除都会失败。
-
path默认是当前脚本所在目录（如/admin/login.php→/admin/），不是/；要全站可用必须显式写'/' -
domain默认不设（''），此时只对当前主机生效；跨子域需写'.example.com'（注意开头的点） - 删除时必须传和设置时**完全相同**的
path和domain，否则旧 Cookie 还在 - 示例：用
setcookie('token', 'abc', time()+3600, '/api/', 'api.example.com')设置的，删时也得带同样path和domain
安全参数 httponly 和 secure 容易被忽略但很关键
不加 httponly，JS 可通过 document.cookie 读取并外泄；不加 secure，HTTP 页面也会发送 Cookie，中间人可截获。
-
httponly => true：阻止 JS 访问，防 XSS 盗 Cookie（登录态最该加） -
secure => true：仅 HTTPS 下发送，生产环境必须开（开发时可关，但别提交） - PHP 7.3+ 支持
samesite（如'samesite' => 'Lax'），防 CSRF，建议加上 - 敏感值（如 session_id）绝不能明文存 Cookie，应存随机 Token，后端查数据库验证
最麻烦的不是设不上，而是设上了却读不到、删不掉、跨域失效——根源几乎都在 path/domain 配置不一致，或者忘记 time()。调试时先用浏览器 DevTools 的 Application → Cookies 看实际存了什么，比猜快得多。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
