我觉得这个问题你需要的是https和http_only,爱怎么用都行，即使存密码明文到cookie也没多大关系

nginx 504 之后，php 还有可能会执行一段时间。具体看 nginx 的超时设置 和 php 的超时设置。

看了两遍，我就没搞懂你在问啥？是我理解能力有问题？

你可以检测下php.ini中和php-fpm中对应的超时设置，但是依旧推荐php-cli的形式

curl 或者 wget 超时了吧，建议使用php-cli去执行一个比较耗时的脚本

建议你先打印一下各个位置的时间做分析，比如$_SESSION这里就可能会超过一秒，最后反应出不是PDO的问题。

只能使用.xx.com 可以在 a.xx.com,b.xx.com中使用，否者只能使用js来达到目的，如果浏览器限制了外域的还是不行的