PHP setcookie函数设置samesite参数后无法正常创建Cookie问题求助

问题根因 #

SameSite=None 必须和 Secure 属性配套使用，这是Chrome 80及以上版本的强制规则，你当前代码中secure设为false，浏览器会直接拦截该Cookie，不会进行存储。
同时你本地测试用的是HTTP站点，Secure属性仅在HTTPS协议下生效，HTTP环境下设置Secure=true的Cookie同样会被浏览器拒收。

修复方案 #

1. 生产环境（HTTPS协议，PHP 7.3+）正确写法

<?php
// 处理domain的端口问题，如果HTTP_HOST带端口要先移除
$domain = $_SERVER['HTTP_HOST'];
if (str_contains($domain, ':')) {
    $domain = explode(':', $domain)[0];
}

setcookie(
    '_siteauth',
    Crypt::encrypt(site()->password),
    [
        'expires' => time() + 86400,
        'path' => '/',
        'domain' => $domain,
        'samesite' => 'None',
        'secure' => true, // 必须开启，和SameSite=None配套
        'httponly' => true // 建议开启，提升安全性
    ]
);
?>

2. 本地HTTP测试环境临时写法

本地开发不需要兼容iframe场景的话，直接将SameSite设为Lax即可正常设置Cookie：

<?php
$domain = $_SERVER['HTTP_HOST'];
if (str_contains($domain, ':')) {
    $domain = explode(':', $domain)[0];
}

setcookie(
    '_siteauth',
    Crypt::encrypt(site()->password),
    [
        'expires' => time() + 86400,
        'path' => '/',
        'domain' => $domain,
        'samesite' => 'Lax',
        'secure' => false,
        'httponly' => true
    ]
);
?>

3. 低版本PHP（低于7.3）兼容写法

不支持关联数组传参的旧PHP版本，直接在path参数拼接属性即可：

<?php
$domain = $_SERVER['HTTP_HOST'];
if (str_contains($domain, ':')) {
    $domain = explode(':', $domain)[0];
}

// 生产HTTPS环境
setcookie(
    '_siteauth',
    Crypt::encrypt(site()->password),
    time() + 86400,
    '/; SameSite=None; Secure',
    $domain
);
?>

本地测试SameSite=None的额外说明 #

如果本地必须验证SameSite=None的效果，给本地站点配置自签名SSL证书，通过HTTPS协议访问即可正常设置Cookie。

内容的提问来源于stack exchange，提问作者joshmoto