PHP中Set-Cookie头已发送但浏览器未识别的问题排查

可能的原因 #

• 缺少安全属性被浏览器拦截：WordPress默认生成的Cookie会带有Secure（HTTPS环境下）和SameSite这类安全属性，而你的add_cookie.php里调用setcookie时没加这些属性，现代浏览器出于隐私安全规则，会拒绝存储这类不完整的Cookie。
• 域名/上下文不匹配：如果add_cookie.php的访问路径和WordPress站点的域名、子域名或目录存在差异，哪怕设置了path=/，浏览器的同源策略也会阻止Cookie存储。比如WP站点在www.yourdomain.com，但文件直接通过yourdomain.com访问，就可能触发这个问题。
• 隐性输出干扰：虽然headers_list()显示Set-Cookie头已发送，但如果PHP文件开头存在BOM头、空格或其他隐性输出，可能导致浏览器实际忽略Cookie头（不过你提到Location头能正常跳转，这个可能性较低，可优先排查前两点）。

解决方法 #

方法1：修改单独PHP文件，补充Cookie安全属性 #

在setcookie调用中添加适配现代浏览器的安全属性，按需补充域名参数：

<?php
error_reporting(E_ALL);
ini_set('display_errors', '1');

$cookie_name = "testCookie";
$cookie_value = "cookieValue";
// 补充安全属性，自动适配HTTPS环境，按需添加domain参数
setcookie(
    $cookie_name,
    $cookie_value,
    [
        'expires' => time() + (86400 * 30),
        'path' => '/',
        'secure' => isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on',
        'httponly' => true,
        'samesite' => 'Lax',
        'domain' => '.yourdomain.com' // 适配所有子域名，根据实际情况调整
    ]
);

echo "Headers sent by the server:<br>";
print_r(headers_list());

方法2：用WordPress的init钩子设置Cookie（推荐） #

既然你不想在单独文件中引入WP内容，直接在主题functions.php或自定义插件里用init钩子设置Cookie，能自动继承WP的Cookie安全策略：

add_action('init', 'set_test_cookie');
function set_test_cookie() {
    $cookie_name = "testCookie";
    $cookie_value = "cookieValue";
    // 复用WP内置的Cookie路径、域名配置，自动处理安全属性
    setcookie(
        $cookie_name,
        $cookie_value,
        time() + (86400 * 30),
        COOKIEPATH,
        COOKIE_DOMAIN,
        is_ssl(),
        true
    );
}

这种方式不需要单独的PHP文件，Cookie会在WP初始化时自动发送，完全符合浏览器的安全规则。

内容的提问来源于stack exchange，提问作者user9102437