PHP Session 存儲機制深度解析：從檔案、Memcache 到自定義處理器

Session 生命週期與啟動模式

PHP Session 由 session.auto_start 控制是否自動啟動（預設 0，手動呼叫 session_start()）。客戶端識別 ID 透過 Cookie（session.use_cookies=1）或 URL 參數傳遞，建議啟用 session.use_only_cookies=1 防止 Session Fixation 攻擊。

客戶端 Cookie 參數微調

伺服器端存儲引擎對比

1. 預設檔案存儲（files）

session.save_handler = files
session.save_path = "/tmp"          ; 單層目錄
; 或分層： "2;/var/lib/php/session" ; 2 級子目錄，緩解 inode 壓力
; 權限模式： "2;600;/var/lib/php/session"

• 優點：零配置、無外部依賴
• 缺點：單機限制、大流量下 I/O 瓶頸、分布式需共享存儲（NFS/GlusterFS）

2. Memcache 會話處理器

session.save_handler = memcache
session.save_path = "tcp://127.0.0.1:11211?persistent=0&weight=1&timeout=1&retry_interval=15,
                     tcp://127.0.0.1:11212?persistent=0&weight=1&timeout=1&retry_interval=15"

• 多伺服器以逗號分隔，支援權重、超時、重試參數
• 優點：高效能、原生分布式、自動過期淘汰
• 缺點：重啟丟失資料（非持久化）、需額外運維 Memcached 叢集

3. Memcached（libmemcached）處理器

較新擴展，API 更豐富，支援一致性雜湊、SASL 認證，配置語法類似。

4. 自定義處理器 session_set_save_handler()

實現 open, close, read, write, destroy, gc 六介面，可接入 Redis、資料庫、MongoDB 等任意後端。注意：若同時啟用檔案鎖與自定義寫入，可能導致資料競爭丟失。

持久化與一致性權衡

• 檔案/資料庫：強持久化，適合合規要求高場景
• Memcache/Redis：高效能、弱持久化（Redis 可配置 AOF/RDB）
• 混合策略：熱 Session 存 Redis，定時同步落地資料庫備份

常見誤區與最佳實踐

1. 誤區：以為 session.gc_maxlifetime 即 Cookie 存活時間 → 實為 GC 機率觸發閾值，Cookie 由 cookie_lifetime 決定
2. 誤區：分布式直接掛載同一 NFS 目錄 → 鎖競爭極大，改用 Redis/Memcached
3. 實踐：session_regenerate_id(true) 登入後重新生成 ID，防 Session Fixation
4. 實踐：關鍵操作（付款、改密）要求重新驗證密碼/雙因子，不單憑 Session
5. 監控：記錄 Session 讀寫延遲、GC 耗時、存儲節點健康度

總結

Session 存儲無銀彈。單機小流量用 files，分布式高併發首選 Redis/Memcached，合規場景落地資料庫。核心在於根據業務一致性、效能、運維成本三角權衡選型，並建立完善監控與降級預案。