掌握 setcookie() 调用时机（必须在任何输出前）、参数一致性（读/删时路径域名须完全匹配）和安全配置（secure/httponly/samesite 合理设置），可解决 90% 的 cookie 问题。
PHP 的 Cookie 操作不难学，但容易在 setcookie() 调用时机、参数一致性、安全配置三处翻车。掌握这三点，90% 的 Cookie 问题就解决了。
setcookie() 必须在任何输出前调用
这是最常报错的点：一旦有 echo、print、HTML 标签、甚至开头的空格或 UTF-8 BOM，就会触发 Warning: Cannot modify header information - headers already sent。
- 检查 PHP 文件是否以
<?php开头，前面**绝对不能有任何字符**（包括空行、注释前的空格） - 如果逻辑上必须先做判断再设 Cookie，用
ob_start()开启输出缓冲，最后ob_end_flush() - 调试时可用
headers_sent($file, $line)定位哪一行提前输出了内容
读取 $_COOKIE 为什么总是空？
Cookie 不是“设完立刻能读”，它只在**下一次 HTTP 请求**中才被浏览器发回服务器，所以当前请求的 $_COOKIE 里没有刚 setcookie() 的值。
- 第一次访问页面：调用
setcookie("theme", "dark")→ 浏览器收到并存储，但$_COOKIE["theme"]仍为空 - 刷新或跳转后第二次访问：浏览器自动带上
Cookie: theme=dark→ 此时$_COOKIE["theme"]才有值 - 读取前务必加
isset($_COOKIE['name'])判断，否则直接访问会触发 Notice
删除 Cookie 总是失败？路径和域名必须完全一致
删除本质是覆盖——用相同名称、相同 path、相同 domain 发送一个已过期的 Cookie。只要其中任一参数不匹配，旧 Cookie 就还在。
- 当初用
setcookie("token", "abc", time()+3600, "/admin/", "example.com", true, true)设置的 - 删除时也必须写全：
setcookie("token", "", time()-1, "/admin/", "example.com", true, true) - 漏掉
/admin/或写成/，或漏掉example.com，都会导致删不干净 - 开发时建议统一用常量定义路径和域名，避免手误
SameSite、Secure、HttpOnly 这些参数到底怎么配？
现代浏览器对 Cookie 安全越来越严格，不配或乱配会导致 Cookie 不发送、被拦截，甚至登录态失效。
-
secure：必须为true（仅 HTTPS），本地开发用$_SERVER['HTTPS'] === 'on'或isset($_SERVER['HTTPS'])动态判断 -
httponly：始终设为true，防止 XSS 盗取 Session ID 或 Token -
samesite：PHP 7.3+ 支持数组语法，推荐'samesite' => 'Lax'；若需兼容老版本，改用header('Set-Cookie: ...; SameSite=Lax') - 敏感数据（如用户 ID、权限）别往 Cookie 里塞明文，用加密签名或直接走
$_SESSION
真正麻烦的不是语法，而是路径、域名、协议、安全标志这些参数在不同环境（本地 / 测试 / 生产）下的组合差异。一个没注意，线上就丢 Cookie —— 建议把 setcookie() 封装成函数，统一处理默认值和环境适配。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
