PHP 變量生命週期與跨頁傳遞：從作用域規則到 Session、Token、JWT 現代方案

• 優點：敏感數據不落地客戶端、支持複雜結構、易實現步驟跳轉/草稿保存
• 缺點：需共享存儲 (Redis) 支持水平擴展、會話劫持風險 (需 HTTPS + HttpOnly + SameSite)、GC 清理可能丟失數據
• 適用：用戶認證狀態、購物車、複雜向導、敏感中間數據

4. 客戶端 Token (JWT / 加密 Cookie)

// 簽發
$payload = [
    'sub' => $userId,
    'wizard' => ['start' => $start, 'step' => 1],
    'iat' => time(),
    'exp' => time() + 1800,
];
$token = JWT::encode($payload, $secretKey, 'HS256');
setcookie('wizard_token', $token, ['httponly' => true, 'secure' => true, 'samesite' => 'lax']);

// 驗證 (中間件)
$token = $_COOKIE['wizard_token'] ?? '';
try {
    $payload = JWT::decode($token, new Key($secretKey, 'HS256'));
    $start = $payload->wizard->start ?? '';
} catch (Exception $e) {
    // Token 過期/篡改/無效
}

• 優點：無服務端狀態 (無 Session 存儲)、天然支持微服務/跨域、可攜帶完整上下文
• 缺點：Token 體積大 (Cookie 4KB 限制)、撤銷困難 (需黑名單/短過期)、敏感數據雖加密但落地客戶端
• 適用：無狀態 API、單點登入、跨域認證、服務間調用

綜合選型決策表

安全加固鐵律

1. HTTPS 全站強制：Session ID、Token、Cookie 僅在加密通道傳輸。
2. Cookie 屬性：HttpOnly (防 XSS 竊取)、Secure (僅 HTTPS)、SameSite=Lax/Strict (防 CSRF)。
3. Session 固定攻擊防範：登錄後 session_regenerate_id(true)，session.use_strict_mode=1。
4. 輸出編碼：HTML 上下文 htmlspecialchars()，JS json_encode()，URL urlencode()，SQL 參數化查詢。
5. 最小權限原則：Session/Token 僅存必要數據，敏感字段 (密碼、身份證) 絕不存儲。

結語

PHP 變量默認「請求級」生命週期，跨頁傳遞本質是狀態管理。從 URL 參數、隱藏字段、Session 到 JWT，每種方案都是在安全性、擴展性、體驗、複雜度四維空間中的不同權衡。沒有萬能方案，只有場景最優解：敏感業務上 Session (Redis)，無狀態 API 上 JWT，簡單導航用 URL 參數，表單向導用隱藏字段或 Session。理解本質，拒絕盲目複製貼上，才能構建安全可靠的 Web 應用。