答案：PHP通过setcookie()函数设置Cookie，$_COOKIE数组读取，删除则需设过期时间。 核心是利用setcookie()发送Cookie头信息，浏览器存储后每次请求携带，服务端通过$_COOKIE获取；作用域由path和domain控制，生命周期由expire决定；安全上应启用secure、httponly和SameSite属性防XSS与CSRF；敏感数据宜存Session，Session依赖Cookie传ID，服务端存储状态更安全。
PHP Cookie的设置核心在于setcookie()函数，它能让你在用户的浏览器上留下“标记”，而读取这些标记则直接通过$_COOKIE这个PHP的超全局数组来实现。说白了，就是服务器给浏览器发个小纸条，浏览器收下并保存，下次访问时再把小纸条带回来给服务器看。
在PHP中操作Cookie，无论是设置、读取还是删除，都围绕着setcookie()函数和$_COOKIE数组展开。理解它们的工作原理和参数，是高效管理用户会话状态的关键。
设置Cookie
要设置一个Cookie，我们主要依赖setcookie()函数。它的基本语法是：
立即学习“PHP免费学习笔记（深入）”；
setcookie(string $name, string $value = '', int $expire = 0, string $path = '', string $domain = '', bool $secure = false, bool $httponly = false): bool
$name: Cookie的名称，这是你用来识别Cookie的键。$value: Cookie的值，你希望存储的数据。$expire: Cookie的过期时间。这是一个Unix时间戳。如果设置为0，或者省略，Cookie将成为会话Cookie，浏览器关闭时就会删除。我通常会用time() + 秒数来设定一个未来的时间。$path: Cookie在服务器上的可用路径。例如，/表示整个域名都可用，/admin/则只在/admin/及其子目录下可用。这参数挺重要的，别小看了。$domain: Cookie可用的域名。例如，example.com表示在example.com及其所有子域名（如www.example.com）都可用。如果设为.example.com效果类似，但更明确。$secure: 布尔值，如果设置为true，Cookie将只在HTTPS连接中发送。对于敏感数据，这几乎是必须的。$httponly: 布尔值，如果设置为true，Cookie将无法通过JavaScript访问。这是防御XSS攻击的重要手段。一个设置Cookie的例子：
<?php
// 设置一个名为 'username' 的Cookie，值为 'john_doe'
// 有效期为1小时 (3600秒)，在整个网站都可用，仅通过HTTPS传输，且JavaScript无法访问
setcookie('username', 'john_doe', time() + 3600, '/', 'yourdomain.com', true, true);
// 设置一个简单的会话Cookie，浏览器关闭即失效
setcookie('last_visit', date('Y-m-d H:i:s'));
echo "Cookie已设置。";
?>非常重要的一点： setcookie()函数必须在任何实际的HTML输出（包括空格和空行）发送到浏览器之前调用。否则，PHP会抛出“Headers already sent”错误。这常常是新手容易踩的坑，我以前也遇到过好几次。
读取Cookie
读取Cookie就简单多了，PHP会把所有客户端发送过来的Cookie数据填充到$_COOKIE这个超全局数组中。你可以像访问普通数组一样访问它们：
<?php
// 检查 'username' Cookie是否存在
if (isset($_COOKIE['username'])) {
echo "欢迎回来，" . htmlspecialchars($_COOKIE['username']) . "！";
} else {
echo "您是新访客或Cookie已过期。";
}
// 读取 'last_visit' Cookie
if (isset($_COOKIE['last_visit'])) {
echo "<br>您上次访问的时间是：" . htmlspecialchars($_COOKIE['last_visit']);
}
?>删除Cookie
删除Cookie的本质是让它立即过期。你只需要使用setcookie()函数，将Cookie的过期时间设置为一个过去的某个时间点即可。同时，name、path和domain参数必须与设置时完全一致，否则浏览器可能无法识别并删除正确的Cookie。
<?php
// 假设 'username' Cookie是在 '/' 路径和 'yourdomain.com' 域名下设置的
setcookie('username', '', time() - 3600, '/', 'yourdomain.com', true, true); // 注意：参数要和设置时一致！
setcookie('last_visit', '', time() - 3600); // 如果是简单Cookie，path和domain可以省略
echo "Cookie已尝试删除。";
?>Cookie的生命周期和作用域是两个紧密关联的概念，它们决定了一个Cookie何时失效以及在网站的哪些部分可以被访问到。我个人觉得，理解这两个参数，能帮助你更精细地控制用户体验和数据安全。
生命周期 (Expiration)
Cookie的生命周期主要由expire参数控制。
expire参数设置为0（默认值），或者干脆不设置时，这个Cookie就是会话Cookie。它的生命周期与浏览器会话绑定，一旦用户关闭浏览器，这个Cookie就会被删除。这对于存储一些临时性、不需要长期保留的数据，比如一次性登录的会话ID，就非常合适。expire参数设置为一个未来的Unix时间戳时，Cookie就成了持久Cookie。浏览器会将其存储到本地文件系统，直到达到设定的过期时间，或者用户手动清除。例如，记住密码、用户偏好设置等，通常会用持久Cookie。我一般会根据数据的重要性，设置几天到几个月不等的过期时间。需要注意的是，服务器端并不能直接“删除”客户端的Cookie。我们所谓的删除，其实是发送一个指令，告诉浏览器这个Cookie已经过期了，浏览器收到指令后会将其从本地存储中移除。如果客户端的Cookie由于某种原因（比如网络问题）没有收到这个过期指令，那么它可能还会继续存在。
作用域 (Scope)
Cookie的作用域由path和domain两个参数共同决定。它们定义了Cookie在哪个URL路径下，以及在哪个域名下是可见和可用的。
path参数: 这个参数指定了Cookie在服务器上的可用路径。
path = '/'：这是最常见的设置，表示Cookie在整个域名下的所有路径都可用。比如你在www.example.com/设置了一个Cookie，那么访问www.example.com/about/或www.example.com/products/时，这个Cookie都会被发送。path = '/admin/'：如果这样设置，那么这个Cookie只在www.example.com/admin/及其子路径（如www.example.com/admin/users/）下可用。访问www.example.com/或www.example.com/blog/时，这个Cookie就不会被发送。这对于隔离不同模块的Cookie非常有用，可以避免不必要的Cookie传输，提升一点点性能，也增强了模块间的独立性。domain参数: 这个参数指定了Cookie可用的域名。
domain = 'example.com'：表示Cookie对example.com以及所有子域名（如www.example.com, blog.example.com）都可用。domain = 'www.example.com'：表示Cookie只对www.example.com这个特定的子域名可用，而不会对blog.example.com等其他子域名可用。domain设置为与当前网站不相关的域名。比如你在example.com上，不能设置一个domain为another-site.com的Cookie。这是浏览器为了安全而做的限制。在实际项目中，我发现合理规划path和domain对于大型应用尤其重要。比如，主站的登录状态Cookie可以设置在根路径和主域名下，而后台管理系统的某些特定功能Cookie则可以限定在/admin/路径下。这样既能确保必要信息的共享，又能避免不同功能模块之间的Cookie相互干扰或过度暴露。
Cookie虽然方便，但如果使用不当，也可能成为安全漏洞的突破口。作为开发者，我们必须时刻警惕这些潜在的风险，并采取有效的防范措施。我个人在设计系统时，对Cookie的安全考量是放在很优先的位置的。
常见的安全隐患：
防范措施：
针对上述安全隐患，PHP提供了多种机制和最佳实践来增强Cookie的安全性。
httponly标志:
httponly参数设置为true，可以防止客户端的JavaScript脚本访问Cookie。document.cookie来读取httponly的Cookie。我总是建议将所有包含敏感信息的Cookie（特别是会话ID）都设置为httponly。setcookie('session_id', 'some_value', time() + 3600, '/', 'yourdomain.com', true, true);
// 最后一个 true 就是 httponlysecure标志:
secure参数设置为true，强制Cookie只通过HTTPS（加密）连接发送。secure标志是必不可少的。setcookie('session_id', 'some_value', time() + 3600, '/', 'yourdomain.com', true, true);
// 倒数第二个 true 就是 secure避免在Cookie中存储敏感数据:
设置合理的过期时间:
CSRF Token (针对CSRF攻击):
SameSite属性 (PHP 7.3+):
SameSite属性可以指示浏览器在跨站请求中如何发送Cookie。Lax: 默认值。在顶级导航（如点击链接）和GET请求中发送Cookie，但在其他跨站请求（如POST表单、AJAX请求）中不发送。这在保证基本功能的同时，提供了不错的CSRF防护。Strict: 最严格。只有当请求的站点与Cookie的站点完全一致时才发送Cookie。这提供了最强的CSRF防护，但可能会影响一些正常的跨站链接跳转体验。None: 允许在所有跨站请求中发送Cookie，但必须同时设置secure标志。如果你的网站需要嵌入到其他网站（如iframe），可能需要这个设置，但要特别注意安全。setcookie()的options数组来设置SameSite。setcookie('user_pref', 'dark_mode', [
'expires' => time() + 86400 * 30,
'path' => '/',
'domain' => 'yourdomain.com',
'secure' => true,
'httponly' => true,
'samesite' => 'Lax' // 或者 'Strict', 'None'
]);我个人倾向于使用Lax作为默认，如果遇到特定跨站需求，再考虑None并加强其他安全措施。
定期轮换会话ID:
session_regenerate_id()函数可以实现这一点。综合来看，Cookie的安全是一个多层面的问题，没有银弹。我们需要结合httponly、secure、SameSite、CSRF Token等多种手段，才能构建一个相对健壮的防御体系。
在Web开发中，管理用户状态是核心需求之一。Cookie固然有用，但它也有自己的局限性，尤其是在存储大量数据或敏感数据时。这时候，PHP的会话（Session）机制就显得尤为重要，它与Cookie协同工作，能更安全、更灵活地管理用户状态。我常常把Cookie看作是Session的“钥匙”，Session才是真正存储用户信息的“保险箱”。
Cookie与Session的关系：
Session的优势：
PHP Session机制的核心：
启动会话：session_start()
session_start()函数，这是使用Session的第一步。PHPSESSID的Cookie中）。Set-Cookie头发送给客户端。<?php session_start(); // 必须在任何输出之前调用 // ... ?>
访问会话数据：$_SESSION
$_SESSION是一个超全局数组，你可以像操作普通数组一样存储和检索Session数据。<?php session_start();
// 设置Session数据 $_SESSION['user_id'] = 123; $_SESSION['username'] = 'Alice'; $_SESSION['cart'] = ['item1' =youjiankuohaophpcn 2, 'item2' => 1];
// 读取Session数据 if (isset($_SESSION['username'])) { echo "当前用户：" . htmlspecialchars($_SESSION['username']); }
// 更新Session数据 $_SESSION['cart']['item3'] = 5;
// 删除单个Session变量 unset($_SESSION['cart']['item1']); ?>
销毁会话：session_destroy()
session_destroy()会删除服务器端存储的Session文件或数据。session_unset()：清除$_SESSION中的所有变量。setcookie(session_name(), '', time() - 3600, $params['path'], $params['domain'], $params['secure'], $params['httponly'])：手动删除客户端的Session ID Cookie。<?php session_start();
// 清除所有Session变量 session_unset();
// 销毁服务器端的Session数据 session_destroy();
// 获取Session Cookie的参数，并删除客户端的Session ID Cookie $params = session_get_cookie_params(); setcookie(session_name(), '', time() - 42000, $params['path'], $params['domain'], $params['secure'], $params['httponly'] );
echo "您已成功登出。"; ?>
结合使用场景与管理建议：
$_SESSION中。客户端通过Cookie携带Session ID，每次请求时服务器根据ID验证用户身份。以上就是PHP Cookie怎么设置_PHP Cookie设置与读取操作指南的详细内容，更多请关注php中文网其它相关文章！
PHP怎么学习？PHP怎么入门？PHP在哪学？PHP怎么学才快？不用担心，这里为大家提供了PHP速学教程(入门到精通)，有需要的小伙伴保存下载就能学习啦！
Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
922
收藏
