HTTP环境下为子域名设置Cookie报Domain属性无效错误如何解决？

核心结论 #

HTTP协议本身支持为子域名设置Cookie，你遇到的报错是配置规则与当前测试环境不匹配导致的，和HTTP协议本身的能力无关。

错误原因分析 #

1. SameSite=None的强制限制：Chrome 80及以上版本明确规定，携带SameSite=None属性的Cookie必须同时开启Secure属性，且仅能在HTTPS协议下生效。你当前在HTTP环境下配置了samesite => 'None'+secure => true，该配置本身就不符合浏览器规则，会被直接拦截。
2. 测试环境域名不匹配：浏览器校验Cookie的Domain属性时，要求Domain值必须是当前访问站点的上级域名或自身域名。如果你本地测试时使用的是IP、localhost，或者实际访问的域名不是example.com本身（比如误访问了www.example.com但未同步调整配置），就会触发「Domain属性与当前主机URL不匹配」的报错。另外新版浏览器已经不再要求Domain属性前加前缀点，.example.com和example.com效果完全一致，去掉前缀点可以避免极少数兼容问题。

解决方案 #

1. 先调整本地测试环境：修改hosts文件将127.0.0.1映射到example.com，测试时直接通过http://example.com访问站点，不要用IP或localhost测试。
2. 调整HTTP环境下的Cookie配置：关闭Secure属性，将SameSite改为Lax或Strict，Domain直接写example.com即可，修改后的代码如下：

setcookie($cookie_name, $token, [
    'expires' => $expires,
    'path' => '/',
    'domain' => 'example.com',
    'secure' => false,
    'httponly' => true,
    'samesite' => 'Lax'
]);

3. 后续上线HTTPS环境后，再将配置改回secure => true和samesite => 'None'即可正常跨子域名生效。

内容的提问来源于stack exchange，提问作者Alex Rsk