PHP Cookie存储密码失效求助：部分用户Cookie仅会话有效

核心问题排查 #

你的代码中Cookie仅能在会话存续期间生效，无法实现90天持久化，主要由以下几个原因导致：

1. 缺失会话初始化 #

代码中使用了$_SESSION但未调用session_start()，会导致会话变量无法正常读写，间接干扰Cookie验证逻辑的执行。

修复：
在脚本最顶部添加会话初始化代码：

session_start();

2. 服务器时间异常 #

strtotime('+90 days')依赖服务器系统时间生成有效期戳，若服务器时间与实际时间偏差过大（比如设置为未来或已过期的时间），浏览器会将Cookie自动降级为会话Cookie。

修复：
改用绝对时间戳生成方式，避免依赖相对时间计算：

// 生成当前时间 + 90天的绝对时间戳
$expire = time() + 90 * 24 * 60 * 60;

3. Cookie参数不完整 #

现代浏览器对Cookie的安全性要求提升，未明确设置SameSite、secure等属性时，部分场景下浏览器会拒绝持久化存储Cookie，仅保留为会话级Cookie。

修复：
补充适配现代浏览器的Cookie参数（根据网站是否使用HTTPS调整secure值）：

setcookie("PASSWORDSET", "val", [
    'expires' => $expire,
    'path' => '/',
    'secure' => isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off',
    'httponly' => true,
    'samesite' => 'Lax'
]);

4. 逻辑分支覆盖问题 #

代码中第三个独立的if(!isset($_COOKIE["PASSWORDSET"]))会强制覆盖会话状态，若用户刚提交密码设置Cookie，刷新后可能出现逻辑冲突。建议改为if-else结构避免覆盖。

修复：

if(isset($_COOKIE["PASSWORDSET"])){
    $_SESSION['validUser'] = true;                              
} else {
    $_SESSION['validUser'] = false; 
    echo '<form action="index.php" method="POST">
        <fieldset>
            <input type="password" name="EnterCode" placeholder="Enter Password" data-required="1"  autofocus> 
        </fieldset>

        <fieldset>
            <button type="submit" name="EnterCheck">Password</button>
        </fieldset>
    </form>';               
}

5. Cookie设置失败未检测 #

setcookie函数会返回布尔值表示设置是否成功，可添加检测逻辑排查潜在的头输出问题（比如脚本在设置Cookie前已输出HTML内容）。

修复：

$cookieSet = setcookie("PASSWORDSET", "val", [
    'expires' => $expire,
    'path' => '/',
    'secure' => isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off',
    'httponly' => true,
    'samesite' => 'Lax'
]);
if(!$cookieSet) {
    error_log("Cookie设置失败：HTTP头已提前输出");
}

完整修复后的代码示例 #

<?php 
session_start();
if(isset($_POST['EnterCheck'])) {   
    $CodeOK = $_POST['EnterCode'];
    if ($CodeOK == "PASSWORD"){ 
        $_SESSION['validUser'] = true; 
        $expire = time() + 90 * 24 * 60 * 60;
        $cookieSet = setcookie("PASSWORDSET", "val", [
            'expires' => $expire,
            'path' => '/',
            'secure' => isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off',
            'httponly' => true,
            'samesite' => 'Lax'
        ]);
        if(!$cookieSet) {
            error_log("Cookie设置失败：HTTP头已提前输出");
        }
        header("Refresh:0");
        exit;
    }
}

if(isset($_COOKIE["PASSWORDSET"])){
    $_SESSION['validUser'] = true;                              
} else {
    $_SESSION['validUser'] = false; 
    echo '<form action="index.php" method="POST">
        <fieldset>
            <input type="password" name="EnterCode" placeholder="Enter Password" data-required="1"  autofocus> 
        </fieldset>

        <fieldset>
            <button type="submit" name="EnterCheck">Password</button>
        </fieldset>
    </form>';               
}
?>

注意：确保代码在输出任何HTML内容（包括空格、换行）之前执行，否则setcookie会因HTTP头已发送而失败。

内容的提问来源于stack exchange，提问作者Pirelli