基于PHP的系统在Safari中无法保留Cookie及重启后Cookie删除问题咨询

• 第三方Cookie拦截严格：Safari默认对第三方Cookie限制极强，哪怕是同主域的子域名，只要被判定为第三方场景（比如iframe嵌入跨域内容），Cookie会直接被拦截。
• SameSite属性校验苛刻：Safari对SameSite的校验比Chrome严格得多，未显式设置的Cookie会被默认归为Lax级别，跨请求场景下根本带不出去；如果要跨域携带，必须明确设为SameSite=None，且同时搭配Secure和HttpOnly。
• 会话Cookie默认清除：Chrome会保留会话Cookie到下次启动，但Safari不管普通还是隐私模式，只要关闭浏览器，未设置有效期的会话Cookie直接被删。
• 域名格式有硬要求：Safari不认带端口号的Cookie域名（比如example.com:8080），必须用纯域名；而且不能给顶级域名（如.com）直接设Cookie，必须是具体的二级域名。
• HTTPS绑定Secure属性：HTTPS环境下，Safari强制要求Cookie带Secure属性，否则直接不存储；本地HTTP开发环境也可能被拦截，新版本Safari对HTTP的Cookie容忍度极低。

1. 强制规范Cookie的SameSite与有效期设置
   PHP设置Cookie时，必须显式指定关键属性，别依赖默认值：

   // 同域业务Cookie，设7天有效期+SameSite=Lax
   setcookie('user_id', $user_id, [
       'expires' => time() + 3600*24*7,
       'path' => '/',
       'domain' => 'yourdomain.com',
       'secure' => $_SERVER['HTTPS'] === 'on', // 自动适配HTTPS环境
       'httponly' => true,
       'samesite' => 'Lax'
   ]);
   
   // 子域名共享Cookie，用SameSite=None+Secure
   setcookie('token', $token, [
       'expires' => time() + 3600*24*7,
       'path' => '/',
       'domain' => '.yourdomain.com', // 加前缀点让子域名能读取
       'secure' => true,
       'httponly' => true,
       'samesite' => 'None'
   ]);
   

2. 规避第三方Cookie场景
   如果是跨域嵌入的内容（比如iframe），尽量把资源迁到同域；实在要跨域，就别用Cookie传数据，改用请求头（比如Authorization: Bearer xxx）带Token。

3. 域名设置别踩坑

   • 不要给Cookie域名加端口号，本地开发用localhost就行，别写localhost:8000。
   • 子域名共享Cookie时，域名必须设为.yourdomain.com（注意前面的点），不然子域名读不到。

4. 本地开发临时适配
   本地用HTTP开发的话，可以临时在Safari「偏好设置-隐私」里关掉「阻止跨站跟踪」和「阻止所有Cookie」——但这只适合开发测试，生产环境必须用HTTPS。

• 必须设有效期：别用会话Cookie（没设expires或max-age），Safari一关就删，给Cookie加个明确的有效期（比如7天）才能保留。
• 排查隐私模式：用户如果用Safari隐私模式，不管啥Cookie，关了窗口直接清零，这是硬限制，只能提示用户用普通模式。
• 检查Cookie大小：Safari单个Cookie不能超4KB，超了会被自动丢弃，重启后自然读不到，把Cookie内容精简下。
• 避免被判定为跟踪Cookie：如果你的Cookie被Safari认定为跟踪用户用的，重启后会被自动清理——确保Cookie只用于业务逻辑（比如登录态），别搞用户跟踪那套，符合苹果隐私规范。

内容的提问来源于stack exchange，提问作者Kırık Link