PHP Session 常見錯誤大全與解決方案

錯誤 1：Headers Already Sent

Warning: Cannot send session cookie - headers already sent
Warning: Cannot send session cache limiter - headers already sent

原因：`session_start()` 前有輸出 (含空白、BOM、echo、HTML)

解決：

• 將 `session_start()` 放在文件第一行，`
• 檢查 include 文件結尾無 `?>` 後空行
• 使用 `ob_start()` 緩衝輸出

錯誤 2：Session 存儲路徑無效

Warning: open(/tmp/sess_xxx, O_RDWR) failed: No such file or directory

解決：

; php.ini
session.save_path = "/var/lib/php/sessions"  ; 確保目錄存在且可寫

; 或代碼中設置 (需在 session_start 前)
ini_set('session.save_path', '/custom/path/sessions');
session_save_path('/custom/path/sessions'); // 專用函數

創建目錄並設置權限：`mkdir -p /var/lib/php/sessions && chmod 700 /var/lib/php/sessions && chown www-data:www-data /var/lib/php/sessions`

錯誤 3：銷毀未初始化的 Session

Warning: Trying to destroy uninitialized session

原因：直接調用 `session_destroy()` 未先 `session_start()`

解決：

<?php
session_start(); // 必須先啟動
session_destroy(); // 再銷毀
?>

錯誤 4：獲取 Session ID

<?php
session_start();
echo session_id(); // 推薦
echo SID;          // 常量，格式：PHPSESSID=abc123
?>

錯誤 5：跨頁面 Session 變量丟失

場景：`header('Location: ...')` 跳轉後 `$_SESSION` 讀不到

原因：Session ID 未傳遞到新頁面 (Cookie 未設置/未攜帶)

解決：

<?php
session_start();
$_SESSION['user'] = 'admin';

// 跳轉前確保 Session 寫入
session_write_close(); // 關鍵！釋放鎖並寫入存儲

header('Location: next.php?' . SID); // 附帶 SID 參數 (備用)
exit;
?>

錯誤 6：Session 註冊變量舊寫法

<?php
// PHP 5.4+ 已移除，不要使用
session_register('var');     // ❌
session_unregister('var');   // ❌
session_is_registered('var'); // ❌

// 現代寫法
$_SESSION['var'] = $value;   // ✅
unset($_SESSION['var']);     // ✅
isset($_SESSION['var']);     // ✅
?>

錯誤 7：Session 數組賦值順序

<?php
// 錯誤：先賦值後註冊 (舊版邏輯)
session_register('data');
$data = [1,2,3]; // 可能不生效

// 正確：現代 PHP 直接賦值
$_SESSION['data'] = [1,2,3]; // ✅ 即時生效
?>

錯誤 8：全局數組訪問 Session

<?php
// 歷史兼容 (不推薦)
$HTTP_SESSION_VARS['user'] // PHP 5.4+ 移除

// 現代標準
$_SESSION['user'] // ✅
$GLOBALS['_SESSION']['user'] // 同一引用
?>

錯誤 9：session_unregister vs session_destroy

<?php
// 完整登出流程
session_start();
$_SESSION = []; // 清空數組
if (ini_get('session.use_cookies')) {
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params['path'], $params['domain'],
        $params['secure'], $params['httponly']
    );
}
session_destroy(); // 刪除服務器存儲文件
?>

錯誤 10：集群環境 Session 不共享

解決：修改 `session.save_handler` 使用共享存儲

; php.ini 或代碼中
ini_set('session.save_handler', 'redis');
ini_set('session.save_path', 'tcp://127.0.0.1:6379?auth=password&database=0');
// 需安裝 phpredis 擴展

; 或 Memcached
ini_set('session.save_handler', 'memcached');
ini_set('session.save_path', '127.0.0.1:11211');

// 或 Database (需自定義處理器)
?>

最佳實踐檢查清單

1. ✅ `session_start()` 在所有輸出前
2. ✅ `session.save_path` 目錄存在且權限正確
3. ✅ 生產環境啟用 `session.cookie_httponly=1` `session.cookie_secure=1`
4. ✅ 登錄後調用 `session_regenerate_id(true)` 防固定攻擊
5. ✅ 集群環境配置共享存儲
6. ✅ 登出執行完整銷毀流程
7. ✅ 定期清理過期 Session 文件 (GC 配置)