thinkphp5中session::set()和session::get()自动初始化session，常见null返回原因包括控制器未继承think\controller、cli环境禁用session、save_handler异常、use_only_cookies配置冲突；session::set(key, null)等价于删除；cookie::set()默认加密，需注意输出时机、域名路径匹配、httponly及expire设置；模板中用{$think.session.xxx}和{$think.cookie.xxx}读取，但不支持嵌套数组；登出需session::destroy()、cookie::delete()并session::regenerate()。
Session::set() 和 Session::get() 是最常用的存取方式
ThinkPHP5 把 session 操作封装成静态方法，Session::set() 写入，Session::get() 读取，不需要手动调用 session_start() —— 框架在第一次调用时自动初始化。
常见错误现象包括：明明调用了 Session::set('user', 'admin')，但后续 Session::get('user') 返回 null。这通常是因为：
- 控制器未继承
think\Controller，或手动启用了 session 但配置冲突 - 在 CLI 环境（如命令行运行）中调用，而 CLI 默认不启用 session
- PHP 的
session.save_handler配置异常，比如写入路径不可写，导致 session 数据根本没落地 - 设置了
'use_only_cookies' => true，但请求头里没带 Cookie（例如 Postman 未手动传Cookie: PHPSESSID=xxx）
注意：session 值为 null 会被框架当作「删除」处理，所以 Session::set('token', null) 等价于清除该 key。
Cookie::set() 不等于 setcookie()，且默认自动加密
Cookie::set() 是 ThinkPHP5 封装后的安全写入方法，它底层会调用 setcookie()，但会在写入前自动加密（前提是配置了 'cookie' => ['auto_encrypt' => true, 'secret_key' => 'xxx']），读取时也自动解密。
如果你发现 Cookie 值始终读不到，先检查：
- 是否在输出任何 HTML 或空白字符前调用了
Cookie::set()（虽然 TP5 会缓冲，但某些中间件或异常提前输出仍会破坏 header） - 域名或路径不匹配：
'domain'配置为'example.com'，但当前访问的是'www.example.com'，需显式设为'.example.com'才能跨子域共享 -
'httponly'设为true后，JavaScript 无法通过document.cookie访问，但 PHP 侧不受影响 - 浏览器开发者工具 Application → Cookies 中看不到对应条目，大概率是
'expire'时间设成了过去值，或'secure'为true但当前走的是 HTTP
模板里直接用 {$Think.session.xxx} 和 {$Think.cookie.xxx}
视图层无需 PHP 代码即可读取 session 和 cookie，语法固定为 {$Think.session.键名} 和 {$Think.cookie.键名}。例如 {$Think.session.user_id}、{$Think.cookie.token}。
容易被忽略的点：
- 如果 session key 是数组形式（如
Session::set('auth', ['id'=>123, 'role'=>'admin'])），模板中不能写{$Think.session.auth.id}—— TP5 的$Think.session是扁平化映射，只支持一级键名 - cookie 前缀（
'prefix'）会影响模板读取：若配置'prefix' => 'admin_'，那么Cookie::set('token', 'abc')实际存的是admin_token，模板里必须写{$Think.cookie.admin_token}或改用{$Request.cookie.token} -
{$Request.cookie.xxx}是另一种写法，它绕过前缀自动拼接逻辑，更可控，推荐在 prefix 复杂时使用
登出时别只删 session，要同步清理 Cookie
用户登出场景下，仅执行 Session::clear() 或 Session::destroy() 不够安全。因为 session_id 对应的 cookie 依然留在浏览器里，可能被重放利用。
正确做法是三步并行：
- 销毁服务端 session：
Session::destroy() - 清空客户端认证 cookie：
Cookie::delete('remember_token')或Cookie::set('remember_token', null) - 主动覆写 session_id：
session_regenerate_id(true)（TP5 中可通过Session::regenerate()实现）
尤其要注意 Cookie::delete() 并非“物理删除”，而是把过期时间设为过去值；若之前设了 'domain' 或 'path'，删除时必须传相同参数，否则浏览器不会匹配到原 cookie 条目。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
