tp6跨域cookie丢失主因是浏览器按samesite、path/domain匹配规则静默丢弃，需前端请求、tp6配置、nginx代理三层协同修复：统一cookie path为/或精确映射、domain设为.example.com、samesite显式设lax/none（配secure）、预检响应放行think-lang等header，并避免cors头重复。
TP6 跨域场景下 Cookie 丢失，不是前端没发、也不是后端没设，而是浏览器在跨站上下文中按规则静默丢弃了它。核心问题集中在三处：Cookie 的 Path 和 Domain 不匹配当前访问路径与域名、SameSite 策略拦截、以及 CORS 预检未透传语言/认证信息。修复需从前端请求、TP6 配置、Nginx 代理三层协同处理。
确保 Cookie 路径与访问路径严格匹配
浏览器只在当前 URL 路径是 Cookie Path 的前缀时才发送该 Cookie。例如，后端返回 Set-Cookie: think_lang=zh-cn; Path=/，而用户实际访问的是 https://app.example.com/admin/user，现代浏览器（尤其 Chrome 80+）可能因 SameSite=Lax 拒绝发送。
- 在 TP6 切换语言时，必须显式指定
path参数：cookie('think_lang', 'en-us', ['path' => '/', 'domain' => '.example.com', 'secure' => request()->isSecure(), 'httponly' => true]); - 若使用 Nginx 反向代理（如把
/api/代理到后端根路径），需用proxy_cookie_path重写 Path：location /api/ { proxy_pass http://backend/; proxy_cookie_path / "/api/"; } - 避免 Path 写成
/admin却在/下访问——务必统一为/或按代理路径精确映射
修正 Domain 并显式设置 SameSite 与 Secure
跨子域（如 admin.example.com → api.example.com）或跨主域（如 fe.example.com → be.internal）时，Domain 缺失或格式错误会导致 Cookie 不共享；SameSite 默认 Lax 会阻断跨站 POST 请求携带 Cookie。
- Domain 必须以点开头（如
.example.com），才能被所有子域读取；若后端未设置 Domain，Nginx 可强制补全：proxy_cookie_domain "" ".example.com"; - SameSite 不能留空。TP6 默认不设，需在 cookie() 调用中手动加：
'samesite' => 'Lax'（同站优先）或'samesite' => 'None'（跨站必需同时配'secure' => true） - HTTPS 环境下
secure => true是硬性要求；若走反向代理，需在public/index.php开头补全 HTTPS 标识：if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') { $_SERVER['HTTPS'] = 'on'; }
让 OPTIONS 预检携带语言与凭据意图
带 Cookie 或自定义 Header（如 think-lang）的跨域请求，浏览器先发 OPTIONS 预检。若此时 CORS 中间件未放行关键 Header、或 LoadLangPack 未执行，后续真实请求就无法识别语言或身份。
- 自定义 CORS 中间件（如
app/middleware/Cors.php）中，对 OPTIONS 请求必须返回完整响应头：Access-Control-Allow-Headers: think-lang, Cookie, Authorization, Content-Type - 中间件注册顺序必须是：
\think\middleware\Cors::class→\think\middleware\LoadLangPack::class→ 其他中间件 - 确保
config/lang.php中'use_cookie' => true且'cookie_var' => 'think_lang'已配置，否则 Lang 中间件不读 Cookie
检查并关闭重复或冲突的 CORS 设置
多个地方加 CORS 头（如 Nginx + TP6 中间件 + 路由级 allowCrossDomain()）易导致头字段重复，浏览器直接报错“Multiple values”。
- 生产环境推荐只用一种方式：路由级（简单接口）或自定义中间件（精细控制）
- 若用了
allowCrossDomain()，注意带凭证时第一个参数不能是*，必须是明确域名数组：->allowCrossDomain(['https://fe.example.com'], true) - Nginx 层若已配
add_header Access-Control-Allow-Origin，请注释掉，交由 TP6 统一输出
