PHP Session 有效期與垃圾回收機制完整指南

前言

Session 是 Web 應用維持用戶狀態的核心機制。PHP 採用「文件存儲 + 機率性垃圾回收（GC）」的獨特設計，這與 Java、Node.js 等常駐進程模式截然不同。理解其運作原理，對於設定合理的過期時間、避免共享主機下的 Session 相互干擾、排查「明明設定 1 小時卻 24 分鐘就失效」等疑難雜症至關重要。

Session 在伺服器端如何存儲？

預設情況下，PHP 將 Session 資料序列化後寫入 /tmp 目錄（由 session.save_path 指定），檔案命名格式為 sess_<session_id>。例如：

sess_01aab840166fd1dc253e3b4a3f0b8381

檔案內容為序列化陣列：

username|s:9:"phpzixue.cn";admin|s:1:"0";

刪除該檔案即代表對應 Session 失效。

Session 在客戶端如何存儲？

客戶端僅需保存 Session ID。兩種傳遞方式：

• Cookie：預設名為 PHPSESSID（由 session.name 控制）
• URL 重寫：如 index.php?PHPSESSID=01aab840166fd1dc253e3b4a3f0b8381

由 session.use_cookies、session.use_only_cookies、session.use_trans_sid 控制策略。

核心參數：gc_maxlifetime

session.gc_maxlifetime（預設 1440 秒 = 24 分鐘）定義 Session 資料的「最大生存時間」。但注意：這只是判定過期的門檻，而非精確失效時間。

垃圾回收（GC）機制詳解

觸發機率

每次 PHP 請求都有機率觸發 GC，機率 = session.gc_probability / session.gc_divisor。預設值：

session.gc_probability = 1
session.gc_divisor = 100  // 即 1% 機率

GC 執行流程

1. 掃描 session.save_path 下所有 sess_* 檔案
2. 檢查檔案「最後修改時間」（mtime）距今是否超過 gc_maxlifetime
3. 超過則刪除檔案，Session 正式失效

關鍵含義

• 被動清理：沒有請求就不會觸發 GC，過期 Session 可能長期佔用磁碟
• 生存期不精確：設定 86400 秒（1 天），實際可能在第 1 天第 10 萬次請求時才被清理
• 活躍但未修改會被誤刪：若用戶持續閱讀頁面但未寫入 $_SESSION，mtime 不變更，GC 會誤判為閒置而刪除

解決「活躍卻被刪除」問題

定期更新 Session 內容以刷新 mtime：

<?php
if (!isset($_SESSION['last_access']) || (time() - $_SESSION['last_access']) > 60) {
    $_SESSION['last_access'] = time();
}
?>

每 60 秒寫入一次，確保檔案 mtime 持續更新。

共享主機的「跨站 Session 污染」陷阱

問題場景

多站點共用同一 session.save_path（如預設 /tmp）：

• 站點 A 設定 gc_maxlifetime = 7200（2 小時）
• 站點 B 使用預設 1440 秒
• 站點 B 的 GC 執行時，會掃描所有 sess_* 檔案，把超過 24 分鐘的全部刪除，包含站點 A 合法 Session

導致站點 A 設定無效，且存在安全風險（其他站點可讀取 Session 檔案）。

解決方案

1. 隔離儲存目錄（推薦）：
   

   session_save_path('/var/www/mysite/tmp/session');

   確保目錄權限 700，僅當前用戶可讀寫。
2. 使用資料庫/Redis 存儲：實作 SessionHandlerInterface，配合 session_set_save_handler()，徹底解決檔案鎖競爭、跨機器共享、精確過期控制。
3. 調整目錄層級：session.save_path = "3;/tmp" 建立三級子目錄分散檔案，緩解單目錄性能瓶頸。

生產環境優化建議

總結

PHP Session 採用「機率性 GC + 檔案 mtime 判斷」的被動過期模型，gc_maxlifetime 只能保證最短生存時間。共享主機下務必隔離 save_path；高可靠場景建議遷移至資料庫/Redis 存儲並自行實現精確過期邏輯。理解這些細節，能讓你從「會用 Session」進階到「駕馭 Session」。