如果你已经解决了普通的 PHP 跨域问题，
那你大概率会在下一步 彻底卡死：
接口能跨域访问了，
但一涉及登录、Session、Cookie，就全部失效。
于是你开始搜：
- php cors 携带 cookie
- php session 跨域
- php ajax 跨域 cookie
- php 跨域请求解决方案
但越看越乱。
这篇文章，我只做一件事：
👉 把「CORS + Cookie」这件事，用人话讲清楚。
一、先说结论：为什么 CORS 一带 Cookie 就翻车？
因为 CORS + Cookie 是一个“强约束组合” 。
浏览器在这件事上，管得非常严。
你必须同时满足 4 个条件，少一个都不行。
二、PHP CORS 携带 Cookie 的 4 个硬条件（重点）
✅ 条件 1：Access-Control-Allow-Origin 不能是 *
这是最常见的致命错误。
❌ 错误示例：
header("Access-Control-Allow-Origin: *");
header("Access-Control-Allow-Credentials: true");
浏览器会直接拒绝。
✅ 正确写法：
header("Access-Control-Allow-Origin: https://www.example.com");
header("Access-Control-Allow-Credentials: true");
👉 必须明确指定域名
✅ 条件 2：前端请求必须开启 credentials
如果是 fetch：
fetch(url, {
credentials: 'include'
});
如果是 axios：
axios.get(url, {
withCredentials: true
});
👉 这一步没写，Cookie 根本不会发。
✅ 条件 3：Cookie 的 SameSite 必须正确
这是 90% PHP Session 跨域失败的根因。
默认情况下：
SameSite=Lax
跨站请求 不会带 Cookie。
你必须设置：
session_set_cookie_params([
'samesite' => 'None',
'secure' => true
]);
⚠️ 注意：
SameSite=None必须配合 HTTPS- 本地测试用 HTTP 会直接失败
✅ 条件 4：OPTIONS 预检请求必须正确返回
只要你：
- 携带 Cookie
- 使用 POST
- 自定义 Header
浏览器一定会先发 OPTIONS 请求。
如果 PHP 没处理：
👉 后续请求根本不会发出
三、一个完整可用的 PHP CORS + Cookie 示例
下面是一个真实项目可用级别的示例。
PHP 后端：
<?php
$origin = 'https://www.example.com';
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
header("Access-Control-Allow-Origin: $origin");
header("Access-Control-Allow-Credentials: true");
header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
header("Access-Control-Allow-Headers: Content-Type");
exit;
}
header("Access-Control-Allow-Origin: $origin");
header("Access-Control-Allow-Credentials: true");
session_set_cookie_params([
'samesite' => 'None',
'secure' => true
]);
session_start();
$_SESSION['uid'] = 1001;
echo json_encode([
'msg' => 'session ok'
]);
前端 fetch 示例：
fetch('https://api.example.com/test.php', {
method: 'GET',
credentials: 'include'
})
.then(res => res.json())
.then(data => console.log(data));
四、为什么 php session 跨域特别容易失败？
因为它同时踩了 3 个雷：
1️⃣ Cookie 默认 SameSite=Lax
2️⃣ HTTPS 要求
3️⃣ 域名不一致（api.example.com vs www.example.com）
👉 任何一个不满足，Session 都会“看起来像失效”
五、php ajax 跨域 + Cookie 的真实执行顺序
很多人不知道，浏览器实际是这么走的：
- 浏览器先发 OPTIONS
- 后端返回 CORS Header
- 浏览器校验是否允许带 Cookie
- 校验 Cookie 属性
- 才真正发送 AJAX 请求
👉 所以你在 PHP 里 var_dump($_SESSION)，
可能压根没走到这一步。
六、再说一个常被误解的点：php curl 跨域
这个词 经常被搜，但其实是伪命题。
👉 curl 不存在跨域问题
如果 curl 请求失败：
- 不是跨域
- 是接口、参数、鉴权问题
七、什么时候该用 Cookie？什么时候不该？
实话建议：
- 内部系统 / 同主域 → Cookie / Session
- 前后端分离 / 多域 → Token / JWT 更省事
如果你非要 Cookie，那就必须 严格按 CORS 规则来。
八、为什么我建议用“代码对照”，而不是死记？
因为 CORS + Cookie：
- 配置点多
- 顺序敏感
- 环境差异大
靠记几乎一定会错。
我已经把 CORS / Cookie / Session / OPTIONS / 环境差异
按场景整理成了一套 可直接对照的 PHP 跨域解决方案代码包。
如果你正在实战里被这块卡住，
对照一遍，基本就能定位问题。
PHP CORS 能不能带 Cookie，不取决于“写没写代码”，
而取决于“有没有满足浏览器的所有条件”。
