如何在php.ini中设置setcookie()默认secure参数为true？

首先明确：PHP的php.ini中没有直接对应setcookie()默认secure参数的配置项，session.cookie_secure确实仅对会话Cookie生效，无法影响手动调用setcookie()创建的常规Cookie。

要实现全局默认secure=true，最可靠的方式是通过自定义函数覆盖原生setcookie()，并利用PHP的自动加载机制全局生效：

实现步骤 #

1. 创建自定义Cookie函数文件
   新建一个PHP文件（比如cookie-override.php），写入以下代码：

   function setcookie($name, $value = "", $expires_or_options = 0, $path = "", $domain = "", $secure = true, $httponly = false) {
       // 兼容PHP 7.3+的options数组传参形式
       if (is_array($expires_or_options)) {
           // 若未指定secure参数，默认设为true
           $expires_or_options['secure'] = $expires_or_options['secure'] ?? true;
           return call_user_func_array('setcookie', [$name, $value, $expires_or_options]);
       }
       // 传统参数形式，直接使用默认的secure=true
       return call_user_func_array('setcookie', func_get_args());
   }
   

   这个函数会在调用时自动将secure参数默认设为true，同时兼容PHP 7.3及以上版本支持的数组式参数传递。

2. 配置php.ini自动加载该文件
   在php.ini中找到auto_prepend_file配置项，设置为你刚才创建的文件路径：

   auto_prepend_file = "/var/www/html/cookie-override.php"
   

   （路径根据你的服务器实际情况调整）

3. 重启PHP服务
   修改php.ini后需要重启PHP-FPM或Apache/Nginx等服务，让配置生效。

其他可选方案（不推荐） #

你也可以通过输出缓冲拦截Set-Cookie响应头，手动添加Secure标记，但这种方式容易遗漏特殊场景（比如框架封装的Cookie设置），维护成本更高，不如覆盖原生函数稳定。

内容的提问来源于stack exchange，提问作者Shawn