PHP如何写入未URL编码的JSON字符串到Cookie且避免报错

核心思路 #

PHP的setcookie会自动对值做URL编码，setrawcookie的特殊字符限制是PHP自身的安全校验规则，并非HTTP Cookie协议的强制要求。你可以直接通过header方法手动写入Set-Cookie响应头绕过这个限制，同时用双引号包裹JSON值，即可实现无编码写入，且不影响JS读取。

可直接使用的代码 #

$cs_f11 = [
    'f11_a1_p117'=>'some data',
    'f11_a2_p118'=>'some data',
    'f11_a3_p119'=>'some data'
];
// 生成原始JSON字符串
$json_val = json_encode($cs_f11);
// 拼接符合RFC 6265规范的Cookie头，双引号包裹JSON值，内部双引号转义避免边界冲突
$set_cookie = sprintf(
    'cs_f11="%s"; Expires=%s; Path=/',
    addslashes($json_val),
    gmdate('D, d M Y H:i:s T', time() + 86400)
);
// 写入响应头，第二个参数false表示不覆盖之前已设置的同名Cookie头
header('Set-Cookie: ' . $set_cookie, false);

原理解释 #

• 双引号包裹Cookie值是RFC 6265标准允许的写法，包裹后JSON内的逗号、空格等字符都可以正常传输，不需要做URL编码
• 浏览器解析该Cookie时会自动去掉外层的双引号，还原内部转义的双引号，JS通过document.cookie读取到的就是原始的JSON字符串，完全不需要修改现有JS代码
• 该写法和JS直接写入Cookie的效果完全一致，浏览器侧识别无差异

注意事项 #

• 确保你的JSON字符串中不存在分号、换行、制表符这些Cookie协议的保留分隔符，如果你的业务场景中JSON可能包含这些字符，需要提前做兼容处理
• 如果有安全要求，可以按需追加HttpOnly、Secure、SameSite等Cookie属性，直接拼到$set_cookie字符串末尾即可

内容的提问来源于stack exchange，提问作者Screenload