PHP 4.0 引入 Session 機制後，極大地方便了購物車、用戶登入狀態保持等功能的開發。然而預設情況下，Session 的生命週期受限於瀏覽器關閉或伺服器垃圾回收，導致用戶體驗不佳。本文將深入解析如何通過配置 php.ini 參數，實現 Session 的「無限生命期」，讓用戶無需重複登入。
Session 資料儲存在伺服器端，客戶端僅持有 Session ID（預設為 PHPSESSID）。這個 ID 可透過 Cookie 或 URL 參數（Query String）傳遞。若要實現永久 Session，關鍵在於：
| 參數 | 預設值 | 建議值 | 作用 |
|---|---|---|---|
session.use_cookies | 1 | 1 | 強制使用 Cookie 傳遞 Session ID，較 URL 方式更安全、美觀。 |
session.name | PHPSESSID | 自定義（如 MYAPPSESS） | Session ID 的 Cookie 名稱，建議自定義以增強安全性。 |
session.cookie_lifetime | 0（瀏覽器關閉即失效） | 999999999（約 31 年） | 客戶端 Cookie 存活秒數。設為極大值即可視為「永久」。 |
session.gc_maxlifetime | 1440（24 分鐘） | 999999999 | 伺服器端 Session 檔案最大存活秒數，必須與 cookie_lifetime 一致，否則資料會被 GC 清除而 ID 仍存在。 |
session.use_cookies = 1
session.cookie_lifetime = 999999999
session.gc_maxlifetime = 999999999
; 可選：session.name = MYAPPSESS修改後重啟 Web 伺服器（Apache/Nginx + PHP-FPM）使配置生效。
若為虛擬主機環境，可在程式碼入口（如 index.php 或通用引入檔）最開頭呼叫 ini_set()：
<?php
ini_set('session.cookie_lifetime', '999999999');
ini_set('session.gc_maxlifetime', '999999999');
session_start();
// 後續業務邏輯
?>注意： ini_set('session.gc_maxlifetime') 僅影響當前請求的 GC 判斷閾值，若伺服器有全域 GC 排程（如 cron 執行 session_gc），仍可能清除舊檔案。生產環境建議搭配自定義 Session 儲存處理器（session_set_save_handler）將資料存入 Redis 或資料庫，由應用層控制過期邏輯，更為可靠。
session.cookie_httponly = 1：阻止 JavaScript 存取 Cookie，緩解 XSS 攻擊。session.cookie_secure = 1：僅在 HTTPS 下傳送 Cookie。session.use_strict_mode = 1：拒絕未初始化的 Session ID，防止 Session Fixation。session_regenerate_id(true)）。透過將 session.cookie_lifetime 與 session.gc_maxlifetime 同步設為極大值，即可實現跨瀏覽器會話的 Session 持久化。但「永久」並非絕對安全，務必結合上述安全設定，並在關鍵操作（修改密碼、綁定手機）要求二次驗證，才能兼顧便利與安全。
