ThinkPHP 5.1 跨域 Cookie 正常工作需同时满足：1. config/cookie.php 中 domain 设为 '.example.com'、secure=true（HTTPS）、samesite='None'；2. 前端请求携带 credentials；3. 后端 CORS 允许指定源而非 *；4. Safari 旧版本需 UA 检测并省略 samesite 字段。
ThinkPHP 5.1 中要让 Cookie 在跨域场景下（如前端域名 https://admin.example.com，后端 API 域名 https://api.example.com）正常携带并生效，关键不是“开启跨域”，而是**正确配置 Cookie 的域、安全属性与 SameSite 策略**。单纯改 cookie.php 不够，需前后端协同。
1. config/cookie.php 必须显式设置 domain 和 secure
Cookie 要跨子域或主域共享，必须指定 domain；若走 HTTPS（生产环境必需），secure 必须为 true，否则浏览器直接拒绝写入：
-
允许子域共享（如 login.example.com → api.example.com）：设
'domain' => '.example.com'（注意开头的点） -
必须启用 secure：仅当使用 HTTPS 时才有效，本地开发用 HTTP 则临时设
'secure' => false，但上线前务必改回true - httponly 推荐保持 true：防止 XSS 读取敏感 Cookie，前端 JS 不需要读它（登录态应由服务端验证）
示例 config/cookie.php 片段：
'prefix' => '',
'expire' => 0,
'path' => '/',
'domain' => '.example.com', // ← 关键
'secure' => true, // ← 关键（HTTPS 下）
'httponly' => true,
'samesite' => 'None', // ← 必须显式设，不能留空
];
2. SameSite=None 必须搭配 Secure=true
Chrome 80+、Edge 80+ 等现代浏览器对未显式声明 SameSite 的 Cookie 会按宽松策略补默认值（Lax），导致跨域请求不带 Cookie。而设为 None 时，不配 Secure=true 会被浏览器直接忽略甚至报错：
- ThinkPHP 5.1 默认不输出
SameSite字段，必须在配置中明确写'samesite' => 'None' - 若用
cookie()函数手动设值，也要传数组参数：cookie('token', $val, ['samesite'=>'None','secure'=>true]) - Safari 12–13.1 / iOS 12.2–13.3 会把
SameSite=None当作无效值，建议服务端 UA 检测后对这些版本**省略samesite字段**（即不设），让浏览器 fallback 到 Lax
3. 前端请求必须带 credentials
即使后端 Cookie 配置完全正确，前端不声明凭据，浏览器也不会附上 Cookie：
-
fetch：必须加
{ credentials: 'include' }，不能用'same-origin' -
axios：全局启用
axios.defaults.withCredentials = true，或单次请求加{ withCredentials: true } -
注意：一旦启用
credentials，后端Access-Control-Allow-Origin就不能再是*，必须指定确切域名（如https://admin.example.com）
4. Nginx 反代需兜底补头（可选但推荐）
如果 ThinkPHP 未完全控制响应头（比如某些中间件或异常路径绕过 cookie 设置），可在 Nginx 配置中强制补全：
add_header Set-Cookie "PHPSESSID=$cookie_PHPSESSID; path=/; domain=.example.com; Secure; HttpOnly; SameSite=None;";该行应放在 location ~ \.php$ 块内，确保覆盖所有 PHP 响应。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
