Symfony 7 的会话与 Cookie 配置必须严格匹配部署环境：cookie_domain 必须为 '.example.com'（带前导点）以支持子域共享；Remember Me 需 Doctrine 持久化 token，禁用默认内存存储；SameSite 与 Secure 必须协同设置（None+Secure 或 Lax），且三要素 domain/path/secure 必须与实际 URL 完全一致。
Symfony 7 的会话和 Cookie 不是“配好就能用”的默认项，很多看似登录态保持不住、跨子域失效、Remember Me 失效的问题，根源都在 framework.yaml 里那几行配置没对齐实际部署环境。
session.cookie_domain 怎么填才支持子域共享
如果你的路由用了动态子域（比如 {tenant}.example.com），但用户一进子域就掉登录态，大概率是 cookie_domain 没设对。
- 必须以点号开头，写成
'.example.com'，不能是'example.com'或'www.example.com' - 开发时若用
localhost或127.0.0.1，浏览器不接受带点的 domain，可临时改用'.localhost'并配 hosts 文件指向本地 - 如果启用了 HTTPS，
cookie_secure: true必须同时开启，否则浏览器拒绝发送该 Cookie - 修改后旧 Cookie 不会自动失效，得手动清空浏览器里所有
SFSESSID相关条目，或换个隐身窗口测试
remember_me 的 token 存哪儿才真正持久
开个 remember_me: true 不等于“记住我”能用——默认的内存存储在 PHP 进程重启后就丢，用户一刷新就回到登录页。
- 生产环境必须用 Doctrine 持久化：在防火墙配置里加
token_provider: doctrine - 确保已安装
symfony/doctrine-bridge，且doctrine.orm配置就绪 - 运行
php bin/console doctrine:migrations:diff && php bin/console doctrine:migrations:migrate生成并执行迁移（别再用--force） -
_remember_me表单字段名不能改，必须是字面量_remember_me，否则框架收不到勾选状态
SameSite 和 Secure 怎么组合才兼容现代浏览器
Chrome、Firefox 对 SameSite 越来越严格，设错直接导致跨站请求不带 Cookie，AJAX 登录后没反应、CSRF 失败都可能是它。
- 跨域前端（如
https://admin.example.com请求https://api.example.com）必须设samesite: 'None'+secure: true - 同域内（
https://app.example.com内部跳转）推荐samesite: 'Lax'，兼顾安全与兼容 - PHP 8.1+ 的
setcookie()参数数组里，'samesite'值必须全大写：'None'、'Lax'、'Strict' - Symfony 默认会话 Cookie 已设
httponly: true，但自定义 Cookie（如购物车 ID）也得显式加这个参数防 XSS
如何验证当前会话是否真被服务端识别
别只看浏览器 Cookie 存不存在，关键看服务端有没有把它解出来、关联上用户。
- 用
$request->cookies->get('SFSESSID')看 Cookie 是否送达（注意名称可能被自定义过） - 查
php bin/console debug:router确认当前路由没意外触发匿名防火墙 - 在控制器里 dump
$this->getUser()和$request->getSession()->getId()，两者都非 null 才算链路通 - 如果用了负载均衡，确保所有 PHP-FPM 实例共享同一
save_path（如 Redis 或数据库），否则会话在节点间丢失
最常被忽略的是：Cookie 的 domain、path、secure 三者必须和实际访问 URL 完全匹配，差一个斜杠或协议都失效；而 Remember Me 的持久性完全取决于 token 是否存进了数据库——光配对参数没用，表结构和 provider 绑定缺一不可。
