创建authToken Cookie后重定向失效，仍跳转至登录页问题排查

1. 错误传递Cookie值（核心问题） #

在makePostRequest函数中，你将整个第三方API返回的JSON数组$json传给了createCookie函数，但setcookie的$cookie_value需要的是具体的令牌字符串，而非数组。如果API返回的结构类似{"token": "your_auth_token"}，你需要提取对应字段，比如$json['token']，否则Cookie值会被强制转为字符串"Array"，导致后续验证逻辑异常。

修复代码：

// 修改makePostRequest中的调用
createCookie($json['token']); // 替换成API返回的实际令牌字段名

2. curl错误处理时机错误 #

你在curl_close($ch)之后调用curl_error($ch)，此时curl资源已被释放，无法获取真实错误信息。应该在关闭curl连接之前检查错误。

修复代码：

function makePostRequest($baseURL) {
    $ch = curl_init();
    $data = http_build_query($_POST);
    curl_setopt($ch, CURLOPT_URL, $baseURL);
    curl_setopt($ch, CURLOPT_POST, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, $data);
    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, false);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);

    $response = curl_exec($ch);
    
    // 先检查错误，再关闭连接
    if($e = curl_error($ch)) {
        echo $e;
    } else {
        $json = json_decode($response, true);
        // 确保JSON解析成功，避免传递null给createCookie
        if($json && isset($json['token'])){
            createCookie($json['token']);
        } else {
            echo "API返回格式错误或缺少令牌字段";
        }
        // 跳转后禁止输出内容，否则会破坏HTTP头
        // return print_r($json); // 务必删除此行
    }
    
    curl_close($ch);
}

3. HTTP头发送后输出内容导致Cookie失效 #

createCookie函数中已经发送了Location跳转头，但makePostRequest中后续的print_r($json)会输出内容，触发PHP的headers already sent警告，这会导致Cookie的Set-Cookie头无法正确发送给浏览器，最终Cookie未被设置。必须删除跳转后的输出代码。

4. 可选：Cookie属性完善（增强安全性） #

为了避免Cookie在某些环境下无法被正确读取，建议补充Cookie的安全属性（根据你的部署环境调整）：

function createCookie($token){
    $cookie_name = 'authToken';
    $cookie_value = $token;
    $expire = time() + (86400*30);
    $path = "/";
    $domain = ""; // 填写你的域名，比如".example.com"
    $secure = true; // 仅HTTPS下传输，生产环境建议开启
    $httponly = true; // 禁止JS读取Cookie，防止XSS
    
    setcookie($cookie_name, $cookie_value, $expire, $path, $domain, $secure, $httponly);
    header("Location: /index");
    exit; // 跳转后立即终止脚本，避免后续代码执行
}

5. 首页代码优化（非核心但更严谨） #

首页的session_start()没有实际作用，可以删除，同时添加exit确保跳转后脚本终止：

<?php
if(!isset($_COOKIE['authToken'])){
    header("Location: /login.php");
    exit;
}
?>

内容的提问来源于stack exchange，提问作者Emm