PHP Session入門完全指南：原理、應用與安全實踐

Session vs Cookie 核心差異

Session工作原理深度解析

1. session_start()啟動會話，生成唯一session_id
2. session_id默認通過Cookie（名PHPSESSID）傳遞
3. 服務器根據session_id讀寫對應存儲文件
4. 數據序列化存儲，格式如：admin|b:1;user|s:5:"admin";

基礎操作完整示例

啟動與賦值

<?php
session_start();
$_SESSION['admin'] = true;
$_SESSION['username'] = 'zhangsan';
$_SESSION['permissions'] = ['read', 'write', 'delete'];
?>

驗證登錄狀態

<?php
session_start();
if (isset($_SESSION['admin']) && $_SESSION['admin'] === true) {
    echo "歡迎回來，{$_SESSION['username']}！";
} else {
    header('Location: /login.php');
    exit;
}
?>

登出銷毀

<?php
session_start();
// 銷毀單個變量
unset($_SESSION['admin']);

// 徹底銷毀整個會話
session_destroy();

// 可選：刪除客戶端Cookie
if (ini_get("session.use_cookies")) {
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params["path"], $params["domain"],
        $params["secure"], $params["httponly"]
    );
}
?>

生命周期控制進階

方法一：setcookie手動設置（兼容性最好）

<?php
session_start();
$lifetime = 24 * 3600; // 1天
setcookie(session_name(), session_id(), time() + $lifetime, '/');
?>

方法二：session_set_cookie_params（需在session_start前調用）

<?php
$lifetime = 24 * 3600;
session_set_cookie_params($lifetime);
session_start();
$_SESSION['admin'] = true;
?>

服務端GC配置

; php.ini
session.gc_maxlifetime = 86400  ; 24小時
session.gc_probability = 1
session.gc_divisor = 1000       ; 0.1%概率觸發GC

無Cookie環境下的Session傳遞

當客戶端禁用Cookie，PHP可自動將session_id附加到URL：

; php.ini
session.use_trans_sid = 1
session.use_only_cookies = 0

生成鏈接如：page.php?PHPSESSID=abc123...，但存在安全風險（URL泄露、書籤洩漏），生產環境建議強制使用Cookie。

安全加固清單

• ✅ 關鍵頁面強制session_start()驗證
• ✅ 登錄後重新生成ID：session_regenerate_id(true)
• ✅ 設置session.cookie_httponly = 1防XSS竊取
• ✅ HTTPS環境下啟用session.cookie_secure = 1
• ✅ 敏感操作二次驗證（密碼、短信、TOTP）
• ✅ 定期清理過期Session文件防止磁盤耗盡

分布式Session解決方案

多服務器集群需共享Session，主流方案：

1. 數據庫存儲：重寫session_set_save_handler()，MySQL/PostgreSQL
2. Redis/Memcached：高性能、原生支持TTL、集群擴展
3. NFS共享文件：簡單但有單點故障風險