symfony 7.4 中 cookie 读取用 $request->cookies->get()，设置必须通过 cookie::create() 链式配置属性并调用 $response->headers->setcookie()，安全属性 httponly、secure、samesite 不可省略。
在 Symfony 7.4 中设置和读取 Cookie 很简单，但关键在于用对类、设对属性、避开常见陷阱。核心是 Request 对象读取浏览器发来的 Cookie，Response 对象设置返回给浏览器的 Cookie，两者都通过 Symfony\Component\HttpFoundation\Cookie 类统一管理。
读取浏览器 Cookie：直接转成数组就行
浏览器发送的 Cookie 已被 Symfony 自动解析为 ParameterBag 实例，挂载在 $request->cookies 上。你可以像操作数组一样访问它：
- 获取单个值：
$theme = $request->cookies->get('theme'); - 获取全部为关联数组：
$allCookies = $request->cookies->all(); - 带默认值安全读取：
$lang = $request->cookies->get('lang', 'en');
注意：如果拿不到预期值，先检查是否因 secure（仅 HTTPS）、httponly（JS 不可读）、path/domain 不匹配或已过期导致 Cookie 没被发送。
设置 Cookie：必须用 Cookie 类，不是 setcookie()
不能用 PHP 原生 setcookie()，必须通过 Response 的 headers->setCookie() 方法，并传入 Symfony\Component\HttpFoundation\Cookie 实例：
- 基础写法：
$response->headers->setCookie(Cookie::create('theme', 'dark')->expireIn(86400)->httpOnly(true)->secure(true)->sameSite('lax')); - 推荐链式调用：支持
expireIn()（秒数）、path()、domain()、httpOnly()、secure()、sameSite()等方法 - 删除 Cookie：用同名、空值、过去时间的 Cookie 覆盖，例如
Cookie::create('theme', '')->expireAt(strtotime('-1 day'))
安全设置不能省：生产环境必开这三项
不设安全属性的 Cookie 是明显风险点。线上部署时至少启用：
-
httpOnly(true)：阻止 JavaScript 访问，防 XSS 窃取 -
secure(true)：确保只通过 HTTPS 传输，防中间人劫持 -
sameSite('lax')：平衡兼容性与 CSRF 防护，推荐默认设为lax，敏感操作可升为strict
路径（path）建议设为 '/'，域名（domain）若跨子域可设为 '.example.com'（注意开头的点）。
记住我功能本质也是 Cookie，但需额外配置
“记住我”不是普通 Cookie，它依赖框架内置的安全令牌机制：
- 必须在
security.yaml的对应防火墙下开启remember_me，并配好lifetime、secure、httponly等参数 - 登录表单必须含
<input type="checkbox" name="_remember_me">，字段名不可改 - 生产环境务必使用
doctrine令牌提供器，避免重启后失效
它生成的 Cookie 名通常是 REMEMBERME，内容加密且服务端校验，比手写 Cookie 更可靠。
