PHP 跨域共享 Session 解決方案：HTTP 與 HTTPS 協議間傳遞 Session ID

PHP 跨域共享 Session 解決方案：HTTP 與 HTTPS 協議間傳遞 Session ID

當主站為 HTTP、支付/用戶中心為 HTTPS（不同域名/子域名/協議）時，Cookie 默認不跨協議傳輸，導致 Session 失效。本文提供通過 URL 參數透傳 Session ID 的簡易方案，並分析安全風險與加固建議。

核心原理

手動獲取當前 session_id()，在跳轉鏈接中攜帶作為參數，目標站通過 session_id($id) 設置後再 session_start()，實現同一 Session 數據共享。

代碼實現

HTTP 站點（發起跳轉）

<?php
session_start();
$currentSessionID = session_id();
$_SESSION['testvariable'] = 'Session worked';

$secureServerDomain = 'www.sjolzy.cn';
$securePagePath     = '/safePages/securePage.php';

echo '點擊跳轉到 HTTPS';

HTTPS 站點（接收恢復）

<?php
$currentSessionID = $_GET['session'];
session_id($currentSessionID);
session_start();

if (!empty($_SESSION['testvariable'])) {
    echo $_SESSION['testvariable'];
} else {
    echo 'Session did not work.';
}

安全風險分析

• Session ID 暴露在 URL 中：瀏覽器歷史、服務器日誌、Referer 頭、用戶分享鏈接均可能洩露。
• 會話劫持：攻擊者獲取 URL 即可冒充用戶身份。
• CSRF 風險：若無 Token 驗證，惡意頁面可誘導用戶跳轉執行敏感操作。

加固建議

1. 加密 Session ID：跳轉前用對稱加密（AES）或簽名（HMAC）處理 ID，目標站驗證解密後再設置。
2. 短時效一次性 Token：生成一次性 Token 綁定 Session ID，跳轉時傳 Token，目標站驗證 Token 換取 Session ID，用後即銷毀。
3. SameSite Cookie + 子域名共享：若域名為同一主域（如 a.example.com / b.example.com），設置 session.cookie_domain = .example.com、session.cookie_secure = 1、session.cookie_samesite = Lax，優先嘗試 Cookie 原生共享。
4. 集中式 Session 存儲：Redis/Memcached 集群存儲 Session，所有應用統一讀寫，無需傳遞 ID（最推薦）。
5. JWT/OAuth2：無狀態令牌替代 Session，天然支持跨域、微服務架構。

Magento 實踐踩坑記

作者曾因 HTTP/HTTPS 跨域導致 Magento Cookie 失效多日，最終定位為協議差異導致 Cookie 不發送。上述方案可作為緊急修復，長期請遷移至集中式存儲或統一協議/域名。

跨域共享 Session 本質是**身份傳遞**，選擇方案時需在便利性、安全性、架構演進之間權衡。