如何在WordPress中全局保护所有Cookie（含第三方插件Cookie）

嘿，我来帮你搞定WP Engine上WordPress站点的Cookie全局保护问题——毕竟他们的Nginx前置+Apache后端架构确实有点特殊，普通配置很容易漏掉第三方插件生成的Cookie。结合我之前帮同环境用户解决问题的经验，给你几个针对性方案：

1. 利用WP Engine自定义Nginx配置覆盖所有后端Cookie #

WP Engine允许用户添加自定义Nginx规则（不用碰主服务器配置），这是覆盖所有后端返回Cookie的最有效方式，因为所有请求都先经过Nginx。

你需要在站点的wp-content/nginx目录下创建一个custom.conf文件（如果目录不存在就新建），然后添加以下规则：

# 修改后端Apache返回的所有Cookie，强制添加安全标记
proxy_cookie_flags ~ secure httponly samesite=Strict;

这个规则会自动给每个从Apache返回的Cookie加上Secure、HttpOnly和SameSite=Strict标记，不管是WordPress核心还是插件生成的。

保存后，WP Engine会自动加载这个配置（如果没生效，可以联系他们的支持团队刷新配置）。

2. 用MU插件拦截所有Cookie设置（覆盖插件直接调用的情况） #

有些插件会直接调用PHP的setcookie()函数，绕过WordPress核心的Cookie参数过滤，这时候就需要用**必须使用插件（MU Plugin）**来全局拦截：

在wp-content/mu-plugins目录下创建cookie-security.php文件（目录不存在就新建），内容如下：

<?php
/*
Plugin Name: Global Cookie Security Enforcement
Description: Forces secure flags on all WordPress cookies, including those from plugins.
*/

// 过滤WordPress核心的Cookie参数
add_filter('wp_set_cookie_params', 'enforce_secure_cookie_params');
// 拦截所有setcookie调用
add_action('setcookie', 'enforce_secure_cookies', 10, 7);

function enforce_secure_cookie_params($params) {
    $params['secure'] = is_ssl();
    $params['httponly'] = true;
    $params['samesite'] = 'Strict';
    return $params;
}

function enforce_secure_cookies($name, $value, $expire, $path, $domain, $secure, $httponly) {
    // 强制覆盖安全标记
    $secure = is_ssl();
    $httponly = true;
    $samesite = 'Strict';

    // 重新设置Cookie，确保SameSite标记被添加
    setcookie($name, $value, $expire, $path, $domain, $secure, $httponly);
    header("Set-Cookie: $name=$value; expires=" . gmdate('D, d M Y H:i:s T', $expire) . "; Max-Age=" . ($expire - time()) . "; path=$path; domain=$domain; secure=$secure; HttpOnly=$httponly; SameSite=$samesite", false);
}

MU插件会在所有站点加载，无法被用户禁用，能确保所有通过PHP设置的Cookie都带上安全标记。

3. 确保HTTPS强制开启（Secure标记生效前提） #

Secure标记只有在HTTPS连接下才会被浏览器识别，所以一定要在WP Engine控制面板里开启Force SSL选项（一般在“SSL/TLS”或“Site Settings”里），确保所有请求都跳转到HTTPS。

4. 处理JavaScript设置的Cookie #

如果有插件通过前端JS设置Cookie，Nginx和PHP的配置都管不到这种情况。你可以用自定义JS来拦截Cookie设置，但注意：JS无法设置HttpOnly标记，所以这种情况最好联系插件作者修改代码，或者替换成更安全的插件。

如果临时需要处理，可以在主题的functions.php里添加这段代码：

add_action('wp_footer', 'secure_js_set_cookie');
function secure_js_set_cookie() {
    ?>
    <script>
        // 重写document.cookie，强制添加Secure和SameSite标记
        const originalSetCookie = document.__lookupSetter__('cookie');
        document.__defineSetter__('cookie', function(cookieStr) {
            if (window.location.protocol === 'https:' && !cookieStr.includes('Secure')) {
                cookieStr += '; Secure';
            }
            if (!cookieStr.includes('SameSite')) {
                cookieStr += '; SameSite=Strict';
            }
            // 提醒无法设置HttpOnly
            if (!cookieStr.includes('HttpOnly')) {
                console.warn(`Cookie "${cookieStr.split('=')[0]}" can't be set as HttpOnly via JS. Please contact the plugin author.`);
            }
            return originalSetCookie.call(this, cookieStr);
        });
    </script>
    <?php
}

建议你先尝试方案1+方案2的组合，这基本能覆盖99%的场景，剩下的JS设置的Cookie再用方案4补充。

内容的提问来源于stack exchange，提问作者Tim King