setcookie()必须在任何输出前调用，因其向HTTP响应头发送Set-Cookie指令；一旦有空白、HTML或echo等输出，即报“headers already sent”错误。
setcookie() 必须在任何输出之前调用
PHP 的 setcookie() 函数不是“写入变量”，而是向 HTTP 响应头发送 Set-Cookie 指令。一旦有哪怕一个空格、换行或 echo 输出，PHP 就会报错：Warning: Cannot modify header information - headers already sent。
- 检查 PHP 文件开头有没有 BOM（尤其 Windows 编辑器保存 UTF-8 时容易带）
- 确保
setcookie()前没有print、echo、var_dump()，甚至 HTML 标签或空白行 - 如果必须调试，用
error_log()替代echo，或把 cookie 设置逻辑提前到文件最顶部 - 开发中可临时开启输出缓冲：
ob_start();
放在文件第一行，但不推荐长期依赖
cookie 参数顺序和默认值容易出错
setcookie() 有 7 个参数，但初学者常只传前两个，结果发现 cookie 看不见、不持久、不跨路径——其实是默认值不符合预期。
- 第 3 个参数
$expires：单位是 Unix 时间戳（秒），不是小时或天；传0表示浏览器关闭即失效；想存 1 小时得写time() + 3600 - 第 4 个参数
$path：默认是当前脚本所在路径（如/user/login.php→/user/），若希望全站可读，必须显式设为'/' - 第 5 个参数
$domain：本地开发用'localhost'无效，得留空或设为''；线上环境如'example.com'才能被子域名共享 - 第 6 个参数
$secure：设为true表示仅 HTTPS 传输，HTTP 站点设了就写不进去 - 第 7 个参数
$httponly：设为true可防 XSS 读取，建议始终开启
setcookie('user_id', '123', [
'expires' => time() + 86400,
'path' => '/',
'domain' => '',
'secure' => false,
'httponly' => true,
'samesite' => 'Lax'
]);$_COOKIE 不是实时更新的
刚调用 setcookie() 后，$_COOKIE['user_id'] 依然为空——因为 cookie 是响应头发给浏览器的，下次请求时浏览器才带上它。这不是 bug，是 HTTP 协议机制。
- 不能靠
var_dump($_COOKIE)验证刚设置的 cookie 是否成功 - 验证方法：刷新页面后打印
$_COOKIE，或用浏览器开发者工具的 Application → Cookies 查看 - 服务端想立刻拿到值？直接用变量存一份：
$user_id = '123';
setcookie('user_id', $user_id, [...]);
// 后续逻辑直接用 $user_id
中文值或特殊字符必须 urlencode
Cookie 值只允许 ASCII 字符，直接存中文、空格、斜杠等会触发警告甚至截断。
立即学习“PHP免费学习笔记（深入）”；
- 存之前用
urlencode()编码，读的时候用urldecode()解码 - 避免用
json_encode()直接塞对象——可能含非法字符，且$_COOKIE只是字符串数组 - 更安全的做法是只存 ID，数据存在服务端 session 或数据库
// ✅ 正确
setcookie('name', urlencode('张三'), ['path' => '/']);
// 下次请求：
$name = urldecode($_COOKIE['name'] ?? ''); // '张三'
真正卡住初学者的往往不是语法，而是“为什么我明明写了 setcookie 却看不到”——绝大多数情况是输出提前、路径限制或没刷新页面。记住：cookie 是浏览器行为，PHP 只负责发指令；验证它，永远看下一次请求。
