setcookie() 必须在任何输出前调用，因它发送HTTP头部；一旦有空格、换行、HTML或BOM等输出，就会报“headers already sent”警告。
setcookie() 函数必须在任何输出之前调用
PHP 的 setcookie() 是一个 HTTP 头部操作函数，它向客户端发送 Set-Cookie 响应头。一旦 PHP 开始输出（哪怕是一个空格、换行或 <html>），HTTP 头部就已发送完毕，此时再调用 setcookie() 会失败，并触发警告：Warning: Cannot modify header information - headers already sent。
常见踩坑点：
- 文件开头有 UTF-8 BOM（尤其 Windows 编辑器保存时默认带 BOM）
-
echo、print、var_dump()等提前执行 - 包含的配置文件末尾多了一个空行
- 使用了短标签
但服务器未启用，导致 PHP 代码被当作文本输出
实操建议：把所有 setcookie() 放在脚本最顶部；用 headers_sent() 检查是否还能发头：if (!headers_sent()) { setcookie('user_id', '123'); }
setcookie() 参数顺序和安全选项不能省略
PHP 7.3+ 中，setcookie() 最少需传入 name 和 value，但忽略 path、domain、secure、httponly 等参数极易引发安全或作用域问题。
立即学习“PHP免费学习笔记（深入）”；
典型错误现象：
- Cookie 在子目录下读不到 → 忘设
$path（默认是当前路径，不是/） - HTTPS 站点 Cookie 被明文传输 → 没传
true给第 6 个参数$secure - JavaScript 可读取敏感 Cookie → 没传
true给第 7 个参数$httponly
推荐写法（含基础安全）：setcookie('session_token', $token, ['expires' => time() + 3600, 'path' => '/', 'domain' => '', 'secure' => true, 'httponly' => true, 'samesite' => 'Lax']);
注意：PHP 7.3+ 支持关联数组形式传参，更清晰；旧版本需按位置传参（第 4 个是 $path，第 5 个是 $domain，以此类推）
删除 Cookie 不是传空值，而是设过期时间
很多人以为 setcookie('name', '') 就能删 Cookie，其实只是把它值设为空字符串，仍存在于客户端。
正确删除方式是让浏览器认为该 Cookie 已失效：
- 必须传相同的
$path和$domain（否则浏览器视为另一个 Cookie） - 把
$expires设为过去的时间（如time() - 3600） - PHP 7.3+ 推荐用数组参数显式覆盖：
setcookie('cart_id', '', ['expires' => 1, 'path' => '/']);
注意：如果原 Cookie 是 secure 或 httponly，删除时也得带上对应选项，否则可能删不掉
$_COOKIE 里读不到刚 setcookie() 的值
这是新手最常困惑的一点：setcookie('theme', 'dark'); 后立刻 var_dump($_COOKIE['theme']); 输出 NULL —— 因为 $_COOKIE 是请求开始时从客户端发来的原始 Cookie 数据，而 setcookie() 是向客户端“计划发送”新 Cookie，本次响应还没结束，浏览器也没回传。
所以：
- 本次请求中，
$_COOKIE不会更新 - 要立即使用新值，直接用变量存：
$theme = 'dark'; setcookie('theme', $theme); - 下一次请求时，浏览器才会带上这个 Cookie，
$_COOKIE['theme']才有值
别试图用 header('Refresh: 0') 刷新来“验证”，那只是另起一次请求，容易掩盖逻辑问题
真正麻烦的是跨域、Samesite 策略和 HTTPS 混合环境下的 Cookie 行为——这些不会报错，但会让 setcookie() “静默失效”。调试时先确认 headers_sent() 返回 false，再用浏览器开发者工具的 Application → Cookies 面板看是否真的写入，比盯着 PHP 日志更直接
