跨域Cookie需同时满足五项条件：一、setcookie时指定以点号开头的domain（如.example.com）并启用secure；二、SameSite设为None且Secure=true；三、前端AJAX请求启用withCredentials；四、服务端返回精确的Access-Control-Allow-Origin和Allow-Credentials头；五、避免localhost，统一用真实二级域名。
如果您在PHP中设置了Cookie，但在跨域请求时无法读取或写入，则可能是由于浏览器的同源策略限制或PHP配置未正确支持跨域Cookie。以下是解决此问题的步骤：
一、设置Cookie时指定domain和secure属性
跨域Cookie需明确声明可被哪些域名共享，且必须确保domain值为公共父域（如.example.com），同时在HTTPS环境下启用secure标志。
1、在PHP中使用setcookie()函数时，显式传入domain参数，值以点号开头，例如.example.com。
2、确认当前页面协议为HTTPS，将secure参数设为true，例如setcookie('name', 'value', ['domain' => '.example.com', 'secure' => true, 'httponly' => true, 'samesite' => 'None'])。
立即学习“PHP免费学习笔记（深入）”；
3、确保响应头中包含Set-Cookie字段且domain值与目标子域匹配（如a.example.com和b.example.com均可读取.domain为.example.com的Cookie）。
二、配置SameSite属性为None并启用Secure
现代浏览器默认阻止跨站Cookie发送，除非SameSite明确设为None且Secure为true，否则Cookie不会随跨域请求携带。
1、在PHP 7.3+中，使用数组形式传递setcookie()参数，强制设置'samesite' => 'None'。
2、验证HTTP响应头中Set-Cookie字段是否包含SameSite=None; Secure，缺少任一都将导致跨域失效。
3、若使用header()手动输出Set-Cookie，请确保格式为：Set-Cookie: name=value; Domain=.example.com; Path=/; Secure; HttpOnly; SameSite=None。
三、前端AJAX请求启用withCredentials
即使服务端正确设置了跨域Cookie，客户端JavaScript发起的fetch或XMLHttpRequest也必须主动声明携带凭证，否则浏览器不发送Cookie。
1、使用fetch时，在options对象中添加credentials: 'include'。
2、使用jQuery.ajax时，设置xhrFields: { withCredentials: true }及crossDomain: true。
3、确保后端响应头中包含Access-Control-Allow-Origin且不能为通配符*，必须指定具体源（如https://a.example.com）。
四、检查CORS响应头完整性
Cross-Origin Resource Sharing机制要求服务端返回特定响应头，否则浏览器拒绝暴露响应或忽略Cookie设置。
1、在PHP脚本开头添加响应头：header('Access-Control-Allow-Origin: https://a.example.com');
2、必须同时输出：header('Access-Control-Allow-Credentials: true');
3、若涉及预检请求，还需补充：header('Access-Control-Allow-Methods: GET, POST, OPTIONS');和header('Access-Control-Allow-Headers: Content-Type');
五、避免localhost与127.0.0.1混用导致domain匹配失败
浏览器将localhost视为独立域，不接受以点号开头的domain（如.example.com），且localhost与127.0.0.1互不兼容，易造成Cookie无法共享。
1、开发阶段统一使用真实二级域名（如dev.example.com、api.example.com），并通过hosts文件映射到127.0.0.1。
2、设置Cookie时domain必须为.example.com，而非localhost或127.0.0.1。
3、验证浏览器开发者工具Application面板下Cookies列表中，domain列是否显示为.example.com而非空或localhost。
