PHP Session 常見問題完整 FAQ：生命週期、安全、儲存、併發與最佳實踐

前言

Session 是 PHP 維持狀態的核心機制。本文彙整 8 大類常見問題，提供成因分析、解決方案與生產環境最佳實踐。

1. 如何設定長效 Session？

修改 php.ini 兩個關鍵參數：

; 客戶端 Cookie 存活時間（秒），0 = 瀏覽器關閉即失效
session.cookie_lifetime = 2592000  ; 30 天

; 伺服端 Session 資料最大閒置時間（秒），超過將被 gc 清理
session.gc_maxlifetime = 2592000   ; 30 天

注意：session.gc_maxlifetime 需搭配 session.gc_probability/session.gc_divisor 機率回收，若多站點共用儲存路徑，最短的 gc_maxlifetime 會影響所有站點。建議各站點設定獨立 session.save_path。

2. Session 啟動報錯「headers already sent」？

3. 客戶端禁用 Cookie 時 Session 還能用嗎？

PHP 可透過 URL 重寫自動附加 Session ID（需啟用 session.use_trans_sid = 1 且編譯時加入 --enable-trans-sid）。但缺點明顯：

• URL 洩露 Session ID，安全性低（易遭 Referer 洩露、快取記錄）。
• 同一瀏覽器多開分頁會產生多個 Session ID，無法共享狀態。
• 美觀度差、不利 SEO。

建議：強制要求 Cookie，拒絕無 Cookie 訪問並提示用戶啟用。

4. Session 幾分鐘就失效？

1. 檢查瀏覽器 Cookie 是否啟用、是否被隱私模式/插件清除。
2. 檢查 session.gc_maxlifetime 是否過小（預設 1440 秒 = 24 分鐘）。
3. 檢查 session.cookie_lifetime 是否為 0（瀏覽器關閉即失效）。
4. 檢查 url_rewriter.tags 是否包含 form=、a=href 等，影響透明 SID 嵌入。
5. 多伺服器負載均衡下，Session 儲存未共享（需共享儲存：Redis、資料庫、NFS）。

5. 如何將 Session 儲存至資料庫？

實作 SessionHandlerInterface（PHP 5.4+）或使用 session_set_save_handler()：

class PdoSessionHandler implements SessionHandlerInterface {
    private $pdo;
    public function __construct(PDO $pdo) { $this->pdo = $pdo; }

    public function open($savePath, $sessionName) { return true; }
    public function close() { return true; }

    public function read($id) {
        $stmt = $this->pdo->prepare("SELECT data FROM sessions WHERE id=? AND expiry>?");
        $stmt->execute([$id, time()]);
        return $stmt->fetchColumn() ?: '';
    }

    public function write($id, $data) {
        $expiry = time() + ini_get('session.gc_maxlifetime');
        $stmt = $this->pdo->prepare("
            INSERT INTO sessions (id, data, expiry) VALUES (?, ?, ?)
            ON DUPLICATE KEY UPDATE data=?, expiry=?
        ");
        return $stmt->execute([$id, $data, $expiry, $data, $expiry]);
    }

    public function destroy($id) {
        $stmt = $this->pdo->prepare("DELETE FROM sessions WHERE id=?");
        return $stmt->execute([$id]);
    }

    public function gc($maxlifetime) {
        $stmt = $this->pdo->prepare("DELETE FROM sessions WHERE expiry < ?");
        return $stmt->execute([time()]);
    }
}

// 註冊
$handler = new PdoSessionHandler($pdo);
session_set_save_handler($handler, true);
session_start();

6. 如何利用 Session 統計線上用戶數？

資料庫儲存方案最準確：

// 寫入時更新 last_active
$stmt = $pdo->prepare("UPDATE sessions SET last_active=? WHERE id=?");
$stmt->execute([time(), $sessionId]);

// 統計 5 分鐘內活躍
$stmt = $pdo->prepare("SELECT COUNT(*) FROM sessions WHERE last_active > ?");
$stmt->execute([time() - 300]);
$online = $stmt->fetchColumn();

注意：Session 檔案掃描法（glob(session_save_path().'/sess_*')）不準確，因 gc 未必即時清理過期檔案。

7. 表單回退後內容消失？

Session 啟動會發送 Cache-Control: no-cache 等標頭，導致瀏覽器不快取頁面，回退時重新請求伺服器。解決：

// 在 session_start() 之前呼叫
session_cache_limiter('private, must-revalidate');
// 或
session_cache_limiter('private'); // 允許私有快取

或在頁面輸出自訂快取標頭：

header('Cache-Control: private, max-age=300');

8. 同帳號多裝置同時登入會衝突嗎？

不會。每個瀏覽器擁有獨立 Session ID，伺服器端儲存獨立 Session 資料。若需「踢下線」或「單點登入」，需在資料庫記錄 user_id → session_id 映射，登入時檢查並刪除舊 Session。

生產環境最佳實踐清單

• ✅ 使用 Redis 儲存 Session（高效能、自動過期、集群支援）。
• ✅ 設定 session.cookie_httponly = 1、session.cookie_secure = 1（HTTPS）、session.cookie_samesite = 'Lax'。
• ✅ 定期輪換 Session ID：session_regenerate_id(true) 於登入、權限變更時。
• ✅ 實作 Session 固定攻擊防護：登入前銷毀舊 Session、建立新 Session。
• ✅ 監控 Session 數量與 gc 執行頻率，防止儲存體耗盡。

總結

Session 核心在於「伺服端儲存 + 客戶端識別碼」。掌握 php.ini 關鍵參數、儲存驅動替換、安全標頭設定、多伺服器共享方案，即能駕馭各種 Session 相關挑戰。