在Yii2中，保证Cookie安全主要通过以下两个方面实现：
使用签名保护Cookie的内容：Yii2默认会对Cookie的内容进行签名，确保Cookie内容不被篡改。签名是使用应用程序的密钥生成的，只有知道密钥的人才能验证签名。这样，就可以防止攻击者修改Cookie的内容，从而防止攻击者以受害者的身份登录应用程序。
防止Cookie被盗用：Yii2可以配置Cookie只在安全的HTTPS连接下传输，防止Cookie被窃听或被劫持。此外，Yii2还支持Cookie HTTP-only选项，这样浏览器无法通过JavaScript来访问Cookie，从而防止XSS攻击。Yii2还支持配置Cookie的过期时间，避免Cookie一直有效而被恶意利用。
底层原理上，Yii2使用了PHP内置的setcookie()函数来设置Cookie。在设置Cookie时，Yii2会自动添加签名和HTTP-only选项。同时，Yii2还提供了方便的配置选项，使得开发者可以很容易地设置Cookie的过期时间、域名、路径等参数，从而更好地保护Cookie的安全。
