Chrome浏览器无法保存PHPSESSID会话Cookie问题求助

这问题我之前帮不少开发者排查过，Chrome对非HTTPS站点的Cookie处理确实有更严格的限制，尤其是会话Cookie（PHPSESSID）。结合你描述的情况——每次打开站点都收到新的PHPSESSID的Set-Cookie响应，刷新后请求头不带这个Cookie，但Edge完全正常，咱们一步步拆解原因和解决方案：

核心原因分析 #

Chrome 80版本之后默认启用了SameSite=Lax的Cookie策略，对于非SSL（HTTP）站点，如果PHP会话Cookie没有显式设置SameSite属性，Chrome会将其视为SameSite=None，但SameSite=None要求Cookie必须带有Secure属性（仅在HTTPS下传输），而你的站点是HTTP的，无法满足这个条件，导致Chrome直接拒绝保存会话Cookie，每次请求都会触发服务器生成新的PHPSESSID。

而Edge（即使是Chromium内核版本）对非SSL站点的Cookie限制相对宽松，或者你的Edge配置/版本还没完全对齐Chrome的严格策略，所以能正常工作。

具体解决方案 #

1. 显式设置PHP会话Cookie的SameSite属性 #

这是最关键的一步，通过配置让PHP生成的会话Cookie带上SameSite=Lax属性，适配Chrome的策略：

• 修改php.ini全局配置：
  找到php.ini中的session.cookie_samesite参数，修改为：

  session.cookie_samesite = "Lax"
  

  保存后重启Web服务器（如Apache/Nginx）生效。

• 代码中动态设置（适合无法修改php.ini的场景）：
  在调用session_start()之前添加以下代码：

  ini_set('session.cookie_samesite', 'Lax');
  // 确保不要设置Secure属性（HTTP站点无法使用）
  ini_set('session.cookie_secure', '0');
  session_start();
  

2. 检查会话Cookie的Domain和Path配置 #

如果你的PHP配置中session.cookie_domain设置错误（比如设置了跨域的域名），或者session.cookie_path不符合当前站点路径，也会导致Chrome拒绝保存Cookie：

• 确保session.cookie_domain留空（默认值），或者设置为当前站点的域名（比如example.com，不要加前缀.除非需要跨子域共享会话）。
• session.cookie_path默认是/，一般无需修改，除非你的站点部署在子路径下。

3. 验证Chrome的Cookie设置 #

有时候浏览器的隐私设置会干扰Cookie存储：

• 打开Chrome设置，搜索「Cookie和其他网站数据」，确保选择「允许所有Cookie」（至少允许当前站点的Cookie）。
• 检查是否开启了「阻止第三方Cookie」——如果你的站点是第一方站点，这个设置通常不影响，但如果站点内有第三方资源，可能间接干扰，可暂时关闭测试。

4. 清除站点缓存和Cookie #

Chrome可能缓存了异常的Cookie状态，清除后再测试：

1. 打开Chrome开发者工具（F12），切换到「Application」面板。
2. 左侧找到「Storage」>「Clear site data」，点击后确认清除当前站点的所有数据。
3. 关闭并重新打开站点，观察是否还会重复生成新的PHPSESSID。

5. 排查浏览器扩展干扰 #

广告拦截器、隐私类扩展（比如uBlock Origin、Privacy Badger）可能会拦截非SSL站点的Cookie：

• 暂时禁用所有Chrome扩展，重新测试站点会话功能。
• 如果恢复正常，逐个启用扩展找到干扰的那个，调整其对当前站点的权限设置。

验证效果 #

完成上述步骤后，打开Chrome开发者工具的「Network」面板，重新加载站点：

• 查看响应头中的Set-Cookie，确认PHPSESSID带有SameSite=Lax属性。
• 刷新页面，查看请求头中的Cookie字段，应该能看到PHPSESSID已被正确携带。

内容的提问来源于stack exchange，提问作者Thomas Banderas