setcookie() 必须在任何输出前调用，因http响应头需先于响应体发送；$_cookie无法读取刚设置的值，因其仅反映上一次请求携带的cookie；path、domain、secure、httponly等参数影响cookie作用域与安全性，过期时间必须为unix时间戳整数。
setcookie() 必须在任何输出之前调用
PHP 的 setcookie() 是个“头信息操作”，一旦有空格、换行、 或 echo 输出，就会报 Warning: Cannot modify header information - headers already sent。这不是 Cookie 本身的问题，是 HTTP 协议限制：响应头必须在响应体之前发送。
- 检查 PHP 文件开头有没有 BOM（尤其 Windows 编辑器保存 UTF-8 时容易带），用
hexdump -C yourfile.php | head看前几个字节是否为ef bb bf - 避免在
setcookie()前有任何echo、print、var_dump，包括文件末尾的换行或空格 - 如果逻辑上必须先处理数据再决定是否设 Cookie，用
ob_start()+ob_end_flush()缓冲输出（但别滥用，会增加内存开销）
$_COOKIE 读不到刚 setcookie() 的值
Cookie 是客户端存储、服务端下发的机制。setcookie() 只是告诉浏览器“下次请求带上这个键值”，它不会立刻写入当前请求的 $_COOKIE 数组——$_COOKIE 是 PHP 在请求开始时从 HTTP 请求头里一次性解析出来的，只反映上一次响应后浏览器发来的 Cookie。
- 刚调用
setcookie('user_id', '123')后立刻var_dump($_COOKIE['user_id'])，结果是NULL或未定义 - 要验证设置成功，得刷新页面（触发新请求），或手动把值同步到
$_COOKIE（仅调试用）：$_COOKIE['user_id'] = '123'; - 注意：
$_COOKIE中的值未经校验，永远不能直接信任，比如用于权限判断前必须重新签名或查库
路径（path）和域名（domain）参数影响可见范围
Cookie 的 path 和 domain 决定了它在哪些 URL 下会被浏览器自动带上。设错会导致“明明设置了却读不到”。
-
path默认是当前脚本所在路径，比如/admin/login.php调用setcookie('token', 'abc')，则默认path='/admin/'，/api/下的脚本就收不到 - 想全站可用，显式设
path='/'；想限定子目录，比如只给/cart/下用，就写path='/cart/' -
domain默认是当前主机名（不含端口），如example.com；若需跨子域共享（如api.example.com和www.example.com），得设domain='.example.com'（注意开头的点） - HTTPS 站点建议加
secure和httponly参数：setcookie('sess_id', $val, ['secure'=>true, 'httponly'=>true])
过期时间用 time() + 秒数，不是时间戳字符串
很多人误把 '2025-01-01' 这类字符串传给 setcookie() 的 expires 参数，结果 Cookie 立刻失效——因为该参数只接受 Unix 时间戳（整数），不是日期格式。
立即学习“PHP免费学习笔记（深入）”；
- 正确写法：
setcookie('theme', 'dark', time() + 86400)（24 小时后过期） - 设成过去的时间（如
time() - 3600）等于删除 Cookie，但要注意 path/domain 必须和设置时完全一致，否则删不掉 - 浏览器对 Cookie 总数和单个大小有限制（通常 4KB/个，50–100 个/域名），别存大数组或 JSON 字符串；真要存结构化数据，优先考虑服务端 session
最常被忽略的是 path/domain 匹配规则——删 Cookie 时哪怕多一个斜杠、少一个点，都会失败。调试时用浏览器开发者工具的 Application → Cookies 面板看实际存了什么、路径是什么，比猜快得多。
