setcookie 函数的基本概述
在 Web 开发中，Cookie 是一种用于在客户端存储少量数据的技术，常用于实现用户认证、会话管理、个性化设置等功能，在 PHP 中，setcookie() 函数是设置 Cookie 的核心方法，它允许服务器向客户端发送一个 HTTP 头部，指示浏览器存储指定的数据。
setcookie() 的基本语法如下：
setcookie(string $name, string $value = "", int $expires = 0, string $path = "", string $domain = "", bool $secure = false, bool $httponly = false): bool
$domain 参数用于指定 Cookie 的有效域名，而默认域名的设置直接影响 Cookie 的作用范围，是开发中需要重点关注的部分。
默认域名的含义与作用
默认域名指的是 setcookie() 函数中 $domain 参数未显式设置时，Cookie 默认绑定的域名，在 PHP 中，如果未指定 $domain 参数，Cookie 的域名默认为当前请求的域名（即 $_SERVER['HTTP_HOST'] 的值），如果当前访问的 URL 是 https://www.example.com，则未设置 $domain 的 Cookie 默认仅对 www.example.com 及其子域名有效。
默认域名的核心作用是限制 Cookie 的作用范围，确保数据仅在预期的域名下传输和使用，避免跨域泄露或冲突，若网站主域名为 example.com，子域名有 blog.example.com 和 shop.example.com，通过合理设置 $domain，可以实现 Cookie 在主域与子域名之间的共享，或限制仅在特定子域名下生效。
默认域名的默认行为与注意事项
默认域名的严格匹配
当 $domain 未设置时，Cookie 的域名默认与当前请求的域名完全匹配（包括子域名），在 https://www.example.com 下设置的 Cookie，不会自动对 blog.example.com 生效，这与浏览器对 Cookie 域名的严格解析机制一致，即域名必须完全匹配或符合通配符规则（如 .example.com 可匹配所有子域名）。
端口的影响
默认域名的设置与端口无关,在 https://www.example.com:8080 下设置的 Cookie，其默认域名仍为 www.example.com，而非 www.example.com:8080，但需要注意的是，浏览器在发送 Cookie 时会匹配请求的端口，除非通过 $secure 和 $httponly 参数调整安全策略。
子域名与主域名的默认隔离
默认情况下,Cookie 无法跨子域名共享，在 www.example.com 设置的 Cookie，不会自动传递到 api.example.com，若需实现跨子域名共享，必须显式设置 $domain 为 .example.com（注意前导点），表示对主域名及其所有子域名生效。
显式设置 $domain 参数的场景与示例
尽管默认域名能满足基础需求,但在实际开发中，显式设置 $domain 是更推荐的做法，可以避免因域名变化导致的 Cookie 失效问题，以下是常见场景及示例：
跨子域名共享 Cookie
假设主域名为 example.com，子域名有 blog.example.com 和 shop.example.com，需要用户登录状态在所有子域名间共享，此时应设置 $domain 为 .example.com：
setcookie("user_id", "12345", time() + 3600, "/", ".example.com", true, true);
- 前导点 表示对主域名及其所有子域名生效；
$path设置为 表示在所有路径下可用；$secure设为true仅通过 HTTPS 传输，增强安全性。
限制 Cookie 在特定子域名生效
若希望 Cookie 仅在 shop.example.com 生效，而其他子域名（如 blog.example.com）无法访问，则需显式设置 $domain 为 shop.example.com：
setcookie("cart_id", "cart_abc123", time() + 86400, "/", "shop.example.com");
主域名与子域名的独立管理
对于多租户系统,可能需要为不同租户分配独立子域名，并确保 Cookie 不跨租户共享。$domain 应设置为具体的子域名，避免默认主域名的影响：
// 租户 A 的子域名为 tenantA.example.com
setcookie("tenant_data", "data_A", time() + 1800, "/", "tenantA.example.com");
默认域名设置中的常见问题与解决方案
Cookie 无法跨子域名共享
问题：在 www.example.com 设置的 Cookie，在 api.example.com 下无法读取。
原因：未设置 $domain 为 .example.com，导致默认域名仅限 www.example.com。
解决：显式设置 $domain 为 .example.com，并确保 $path 为 。
域名前导点遗漏导致共享失效
问题：设置 $domain 为 example.com（无前导点），子域名仍无法读取 Cookie。
原因：PHP 中 $domain 需要前导点才能匹配所有子域名，否则仅对主域名生效。
解决：修正为 $domain = ".example.com"。
域名大小写敏感问题
问题：在 Example.com 设置的 Cookie，在 example.com 下无法读取。
原因：域名比较不区分大小写，但某些服务器环境可能因配置问题导致敏感。
解决：统一将域名转换为小写后再传递给 setcookie()：
$domain = strtolower($_SERVER['HTTP_HOST']);
setcookie("test", "value", 0, "/", $domain);
安全性与最佳实践
优先使用 HTTPS 传输
通过 $secure = true 确保 Cookie 仅通过 HTTPS 连接传输，避免中间人攻击窃取敏感数据。
启用 HttpOnly 防止 XSS 攻击
设置 $httponly = true 可禁止 JavaScript 访问 Cookie，减少跨站脚本攻击（XSS）的风险。
合理设置过期时间
避免将 Cookie 的过期时间设置过长（如永久存储），除非必要，敏感数据（如会话 ID）建议设置较短过期时间，并在用户登出时手动删除。
避免存储敏感信息
Cookie 可被客户端篡改，不应存储密码、身份证号等敏感数据，敏感信息应存储在服务器端会话中，Cookie 仅存储会话标识符。
setcookie() 的默认域名设置是 Cookie 管理中的基础但关键的一环，默认情况下，Cookie 仅对当前请求域名生效，而通过显式设置 $domain 参数，可以实现跨子域名共享或限制作用范围，在实际开发中，需结合业务需求合理配置域名、路径、安全参数，并注意常见问题的规避，以确保 Cookie 的安全性和可用性，正确理解和使用默认域名，不仅能提升用户体验，还能有效降低安全风险，为 Web 应用的稳定运行提供保障。
