实现Sign in with Apple时，重定向后PHP会话重置、PHPSESSID丢失求助

我正在实现Sign in with Apple功能，基于OAuth2协议开发。流程是生成安全链接引导用户跳转至Apple的授权页面，用户完成账户验证和授权后，会被重定向回我的网站，但此时请求中没有携带PHPSESSID Cookie。

PHP因此创建了新的会话，导致我丢失了完成登录流程所需的会话数据。我尝试配置会话Cookie参数但未解决问题，当前PHP会话配置如下：

我已尝试将SameSite值设置为Lax和None，但均无效果。请问我哪里操作有误？

问题排查与解决方向 #

1. SameSite=None 必须搭配 Secure 属性 #

浏览器安全规范要求：当Cookie的SameSite设为None时，必须同时开启Secure属性，否则会被浏览器拒绝发送。从你的PHP Info截图来看，session.cookie_secure当前是Off状态，这直接导致SameSite=None的Cookie无法被携带。

解决代码示例（需在session_start()前执行）：

ini_set('session.cookie_secure', 1);
session_set_cookie_params([
    'secure' => true,
    'samesite' => 'None',
    'domain' => '.yourdomain.com', // 子域名场景需加前缀点，单域名可直接写域名
    'path' => '/'
]);
session_start();

2. 重定向URL与初始请求的域名/协议不匹配 #

如果授权回调URL和初始请求的域名、协议（HTTP/HTTPS）不一致，浏览器会判定为跨域场景，不会携带Cookie：

• 确认网站全程使用HTTPS（Apple OAuth2强制要求回调地址为HTTPS）
• 检查回调URL的域名和会话Cookie的domain参数完全匹配

3. 会话初始化时机错误 #

如果回调页面中session_start()之前有任何输出（比如空白字符、HTML标签），会导致会话Cookie无法正确发送或被浏览器识别。确保session_start()是页面的第一个执行语句，之前无任何输出。

4. 浏览器隐私限制 #

Safari等浏览器的「防止跨站跟踪」功能会拦截第三方Cookie，即使配置了SameSite=None; Secure也可能失效：

• 可先通过同域页面跳转发起Apple授权，降低跨域感知
• 利用OAuth2的state参数，在会话中存储临时状态值，回调时通过该值关联流程数据（同时可防范CSRF）

5. session.cookie_domain 配置错误 #

若网站使用子域名（比如auth.yourdomain.com发起授权，www.yourdomain.com接收回调），需将session.cookie_domain设为父域名（如.yourdomain.com），否则子域名的Cookie无法被主域名携带。

内容的提问来源于stack exchange，提问作者Whip