PHP 8.5 setcookie() 的 Partitioned 怎么设置：Secure、SameSite 与回退

如果你做的是嵌入式支付、客服这类需要跨站点嵌入的组件，要在不同域名下保留自身短期状态，普通第三方 Cookie 现在很容易因为浏览器隐私策略更新直接失效。PHP 8.5 的 setcookie() 新增了 partitioned 选项，支持声明 Partitioned 分区 Cookie，但它不是什么放开跨站限制的万能开关，实际用的时候得和 Secure、配置正确的 SameSite 搭配，同时站点必须走 HTTPS 协议。

Partitioned Cookie 适合保存什么

Partitioned 的核心特性是隔离：同一个嵌入组件被放在站点 A 和站点 B 中时，两边各自拥有独立的 Cookie 分区。站点 A 里存的值不会因为组件本身的域名相同，就被站点 B 直接读取。它适合存组件自己的临时会话、展示偏好或者单次流程的状态，完全不适合存你希望在所有站点间通用的账号登录令牌。

PHP 8.5 的最小写法

PHP 的 setcookie() 支持用 options 数组统一传入过期时间、存储路径、安全属性和新增的分区选项。下面这个示例把 Cookie 限定在组件对应的专属路径下，还设置了很短的过期时间，方便调试的时候快速验证浏览器是否真的收下了这个 Cookie。

 time() + 900,
    'path' => '/widget',
    'secure' => true,
    'httponly' => true,
    'samesite' => 'None',
    'partitioned' => true,
]);

代码层面只是帮你拼接符合规范的响应头，Cookie 能不能真正被浏览器存下来，还要去浏览器控制台看实际返回、再校验后续请求头有没有带上对应值。另外要注意所有 Cookie 头必须在页面正文输出之前发送，如果 PHP 先输出了空格、调试打印内容或者文件头的 BOM 标记，setcookie() 会直接报错失败。

Secure、SameSite 和 Partitioned 要一起验收

跨站嵌入场景之前常用 SameSite=None 配置，现在主流浏览器基本都要求它同时搭配 Secure 属性才能生效。Partitioned 也别直接在 HTTP 环境下测试，不然本地调试失败很容易把网络协议的问题误判成 PHP 代码参数写错了。

 time() + 600,
    'path' => '/',
    'secure' => (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off'),
    'httponly' => true,
    'samesite' => 'None',
];

if (PHP_VERSION_ID >= 80500) {
    $cookieOptions['partitioned'] = true;
}

setcookie('embed_session', 'demo', $cookieOptions);

示例里把 HTTPS 判断写出来，是为了帮你明确测试的边界条件。线上正式站点更推荐由反向代理或者部署配置层面强制保证全链路 HTTPS，应用层直接固定开启 secure => true 就好，不能因为某次内部健康检查走了 HTTP 链路，就让正式业务的 Cookie 自动降级到不安全模式。

旧版本的安全回退方式

运行版本低于 PHP 8.5 的环境，根本不认识 partitioned 这个 options 数组键。要做多版本兼容的项目，可以按 PHP_VERSION_ID 动态构造配置数组：新版本正常发送 Partitioned Cookie，旧版本只发送不带该选项的常规安全 Cookie，也可以直接关闭依赖分区状态的对应功能。

 time() + 600,
        'path' => '/widget',
        'secure' => true,
        'httponly' => true,
        'samesite' => 'Lax',
    ];

    if (PHP_VERSION_ID >= 80500) {
        $options['samesite'] = 'None';
        $options['partitioned'] = true;
    }

    setcookie('widget_state', $value, $options);
}

这里的旧版本回退不是保证所有跨站功能都能正常跑，而是保证生成的 Cookie 属性完全符合对应 PHP 版本的语法规则，不会因为遇到未知键直接导致响应头发送失败。业务代码里最好同时读取兼容状态：如果浏览器或者运行时不支持分区状态，就给用户展示清晰的降级提示，或者改用后端生成一次性临时票据的方案代替。

常见问题

Partitioned Cookie 能在所有站点之间共享吗？

不能。它的设计初衷就是按顶级站点做数据隔离，你完全可以把它理解成每个嵌入宿主站点各自存了一份独立的状态副本。

为什么必须设置 Secure？

Partitioned Cookie 面向更严格的跨站运行场景，HTTPS 是生产环境部署的基本前提；没开 Secure 属性的话，大部分现代浏览器会直接拒绝保存或者发送这类分区 Cookie。

PHP 8.4 能直接使用 partitioned 选项吗？

不要直接无条件用。要通过 PHP 版本判断动态构造 options 数组，旧版本可以关掉分区相关逻辑，或者只发送不含新选项的安全兼容 Cookie 做回退。

如何判断 Cookie 是否真的生效？

依次检查响应头属性、浏览器应用存储面板、下一次跨站请求的 Cookie 请求头，三个环节都要在实际 HTTPS 环境、真实嵌入业务站点里做完整验证。

上线前的验收清单

• PHP 8.5 输出的响应头里包含 Partitioned、Secure、HttpOnly 和你预期配置的 SameSite 属性。
• 在两个不同顶级域名的嵌入站点下，能看到两边的分区 Cookie 值互相完全隔离。
• HTTP 环境、旧 PHP 版本和不支持该特性的浏览器都能走预先定义好的清晰降级路径。
• Cookie 分区里不存放密码、长期登录令牌或者可以跨站复用的高敏感凭证。

Partitioned Cookie 解决的是嵌入场景下第三方状态的隔离问题，不是用来实现跨站身份共享的。把运行时版本兼容、浏览器特性支持、响应头校验和业务降级逻辑全部过一遍验收，才不会把“参数设置没报错”误当成“整个业务流程可以正常跑通”。