PHP网站“记住我”功能在移动设备上失效求助

嘿，我看到你开发的“记住我”功能在PC端全浏览器正常，但移动端完全失效，而且已经排除了浏览器的Cookie设置问题，咱们来一步步揪出问题所在并解决它！

最可能的元凶：Cookie的SameSite属性 #

现在主流移动端浏览器（尤其是基于Chromium内核的Chrome、Edge，还有Safari）对Cookie的SameSite策略限制比PC端更严格。你当前的setcookie调用没有显式指定SameSite属性，很多移动端浏览器会默认将其视为Strict，这会导致在跨场景（比如从主域名跳转、WebView嵌入）访问时，Cookie无法被携带到服务器。

修复方案：

如果你的PHP版本是7.3及以上，直接在setcookie里添加SameSite参数（第8个参数），并设置为None（必须配合secure=true，因为SameSite=None要求HTTPS）：

// 修正后的Set Cookie代码
if (isset($checkme) && $checkme == 1) {
    $token = bin2hex(random_bytes(30));
    $tokenDB = hash('sha384', $token);
    // 添加SameSite=None参数
    setcookie('myCookieName', $token, time() + 60 * 60 * 24 * 18, "/", "sub.mydomain.ch", true, true, 'None');
    $res = db_abfrage( 'INSERT INTO tokens (users_fk, token) VALUES ('.$userid.', "'.$tokenDB.'")' );
}

如果你的PHP版本低于7.3，需要手动在Cookie的路径参数里拼接SameSite属性：

setcookie('myCookieName', $token, time() + 60 * 60 * 24 * 18, "/; SameSite=None", "sub.mydomain.ch", true, true);

第二个排查点：HTTPS一致性 #

你设置了secure=1，这意味着Cookie只能通过HTTPS协议传输。如果移动端用户偶尔用HTTP访问你的网站（比如直接输入http://sub.mydomain.ch），Cookie根本不会被设置或发送，而PC端可能你一直用HTTPS访问，所以没问题。

修复方案：

强制全站HTTPS访问，比如在.htaccess里添加规则：

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

或者在PHP入口文件（比如index.php）开头添加跳转逻辑：

if (!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] !== 'on') {
    header("Location: https://" . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI']);
    exit();
}

其他可能的小问题 #

• 子域Cookie覆盖问题：
  如果你的移动端访问域名和PC端有差异（比如PC用sub.mydomain.ch，移动端偶尔跳转到www.sub.mydomain.ch），可以把Cookie的domain参数改为.mydomain.ch（前面加个点），让所有子域名共享这个Cookie：

  // PHP 7.3+示例
  setcookie('myCookieName', $token, time() + 60 * 60 * 24 * 18, "/", ".mydomain.ch", true, true, 'None');
  

• 过滤函数的潜在影响：
  你用了filter_var($_COOKIE['myCookieName'], FILTER_SANITIZE_STRING)，虽然你生成的token是bin2hex的安全字符，但移动端浏览器可能在传输时带了一些不可见字符？可以换成FILTER_UNSAFE_RAW或者直接使用原始值测试：

  // 测试用，上线前再调整
  $tokenHash = $_COOKIE['myCookieName'];
  // 或者
  $tokenHash = filter_var($_COOKIE['myCookieName'], FILTER_UNSAFE_RAW);
  

• 移动端系统时间错误：
  有些用户的手机时间设置偏差很大（比如比当前时间早几个月），会导致Cookie刚设置就过期，建议在调试时输出Cookie的过期时间，确认是否正常。

调试技巧 #

在移动端浏览器里开启开发者工具（比如Chrome移动端的远程调试，Safari的Web检查器），查看Application > Cookies面板，确认myCookieName是否被正确存储，以及它的属性（SameSite、Secure、Domain等）是否符合预期。也可以在index.php里临时添加调试代码，查看服务器是否收到了Cookie：

// 仅测试环境使用，上线前删除
var_dump($_COOKIE);
print_r(headers_list()); // 查看响应头里的Set-Cookie信息

按照上面的步骤调整后，应该就能解决移动端的失效问题了！

内容的提问来源于stack exchange，提问作者ChT