PHP如何用Cookie保存用户状态，实用技巧分享

1. 使用PHP操作Cookie的关键是setcookie()函数设置Cookie和$_COOKIE超全局变量读取Cookie；2. 安全存储用户登录状态的正确方法是：登录成功后生成唯一Token，加密后存入数据库并关联用户ID，再将加密后的Token存入Cookie，每次访问时通过验证数据库中的Token来确认登录状态，并定期更新Token；3. Cookie的domain属性用于指定Cookie的有效域名，默认仅对设置域名有效，设置为.example.com可使Cookie对所有子域名有效，但不能跨域；4. 删除Cookie需将过期时间设为过去时间，如setcookie("username", "", time() - 3600, "/")，且路径必须与设置时一致；5. Cookie与Session的区别在于：Cookie存储在客户端，容量小、安全性低但可持久化，Session存储在服务器端，安全性高、容量大但生命周期通常较短，推荐结合使用，如用Cookie存储Session ID，用Session存储敏感信息，根据实际需求选择或组合使用。

Cookie，这玩意儿，其实就是个小纸条，浏览器帮你保存着，下次再来，服务器一看，哟，老熟人！用PHP操作Cookie，说白了就是设置和读取这两件事儿。

解决方案

要用PHP的Cookie来存储用户状态，关键在于setcookie()函数和$_COOKIE超全局变量。setcookie()负责种下Cookie，$_COOKIE负责读取Cookie。

先来个简单的例子，比如记住用户的用户名：

这段代码里，setcookie()的参数依次是：Cookie的名字、Cookie的值、过期时间（Unix时间戳）、路径。过期时间很重要，决定了Cookie能存活多久。路径也很重要，决定了哪些页面可以访问这个Cookie。

当然，实际应用中，我们通常不会直接把用户名明文存储在Cookie里，而是存储一些加密后的用户ID或者Token，这样更安全。

如何安全地使用Cookie存储用户登录状态？

直接存储用户名密码绝对是自杀行为。正确的姿势是：

1. 生成唯一Token: 用户登录成功后，生成一个唯一的Token（比如用uniqid()加上一些随机数），然后把这个Token存到数据库里，关联到用户ID。

2. 加密Token: 对Token进行加密，比如用password_hash()，虽然这函数主要是用来哈希密码的，但用来哈希Token也未尝不可。

3. 存储加密后的Token到Cookie: 把加密后的Token存到Cookie里。

4. 验证Token: 每次用户访问需要登录的页面时，从Cookie里读取Token，然后到数据库里查找对应的用户ID，如果找到，就认为用户已登录。

5. 定期更新Token: 为了安全起见，可以定期更新Token，比如每天或者每周。

记住，永远不要相信客户端的数据，包括Cookie。服务器端必须对Cookie进行严格的验证。

Cookie的domain属性有什么用？

domain属性指定了Cookie的有效域名。默认情况下，Cookie只对设置它的域名有效。比如，你在www.example.com设置了一个Cookie，那么只有www.example.com及其子域名才能访问这个Cookie。

如果你想让Cookie对多个子域名有效，可以设置domain属性为.example.com。注意，前面有个点'.'。

但是，domain属性不能跨域设置Cookie。也就是说，你不能在www.example.com设置一个Cookie，然后让www.anotherdomain.com也能访问。这是浏览器的安全限制。

如何删除一个Cookie？

删除Cookie也很简单，只需要把Cookie的过期时间设置为过去的时间即可：

这段代码会立即删除名为username的Cookie。注意，路径也要和设置Cookie时保持一致，否则可能删除不成功。

另外，有些浏览器可能会缓存Cookie，即使你删除了Cookie，浏览器也可能仍然保留一段时间。所以，最好在删除Cookie后，刷新一下页面，确保Cookie已经被清除了。

Cookie和Session有什么区别？我应该用哪个？

Cookie和Session都是用来存储用户状态的，但它们有本质的区别。

• 存储位置： Cookie存储在客户端（浏览器），Session存储在服务器端。

• 安全性： Cookie的安全性较低，容易被篡改和伪造。Session的安全性较高，因为数据存储在服务器端。

• 存储容量： Cookie的存储容量有限，通常只有4KB。Session的存储容量取决于服务器的配置。

• 生命周期： Cookie的生命周期可以很长，取决于过期时间的设置。Session的生命周期通常比较短，一般在浏览器关闭后就失效。

一般来说，Session更安全，更适合存储敏感数据，比如用户ID、登录状态等。Cookie更适合存储一些不敏感的数据，比如用户的偏好设置、购物车信息等。

当然，也可以把Cookie和Session结合起来使用。比如，用Cookie存储Session ID，然后用Session存储用户登录状态。这样既可以利用Cookie的持久性，又可以保证Session的安全性。

选择哪个，取决于你的具体需求。没有绝对的答案。