PHP Session 應用完整指南：從原理到最佳實務與分散式擴展

Session 是 HTTP 無狀態協議下維持用戶狀態的核心機制。本文系統整理 Session 原理、配置、安全、分散式擴展與現代最佳實務。

Session 核心原理

1. 用戶首次訪問 → 伺服器建立 Session 資料，生成唯一 Session ID
2. Session ID 透過 Cookie（預設 PHPSESSID）回傳給瀏覽器
3. 後續請求攜帶 Cookie → 伺服器讀取對應 Session 資料
4. Session 資料預設儲存於伺服器檔案系統（session.save_path）

基礎配置與使用

<?php
// 必須在輸出任何內容前呼叫
session_start();

// 設定 Session 參數（需在 session_start() 前）
ini_set('session.gc_maxlifetime', 7200);      // 2小時過期
ini_set('session.cookie_lifetime', 3600);     // Cookie 1小時
ini_set('session.cookie_httponly', 1);        // 防 XSS
ini_set('session.cookie_secure', 1);          // 僅 HTTPS（生產環境）
ini_set('session.cookie_samesite', 'Lax');    // CSRF 防護
ini_set('session.use_strict_mode', 1);        // 防 Session Fixation

// 寫入資料
$_SESSION['user_id'] = 12345;
$_SESSION['username'] = 'john_doe';
$_SESSION['permissions'] = ['read', 'write'];

// 讀取資料
$userId = $_SESSION['user_id'] ?? null;

// 刪除特定鍵
unset($_SESSION['temp_data']);

// 銷毀 Session（登出）
session_unset();     // 清空 $_SESSION
session_destroy();   // 刪除伺服器端檔案
setcookie(session_name(), '', time() - 3600, '/'); // 刪除 Cookie
?>

Session 安全強化清單

分散式 Session 解決方案

方案一：Redis（推薦）

<?php
// php.ini 或啟動腳本
ini_set('session.save_handler', 'redis');
ini_set('session.save_path', 'tcp://127.0.0.1:6379?auth=your_password&database=0&prefix=session:');

// 或使用 phpredis 擴展的 SessionHandler
$redis = new Redis();
$redis->connect('127.0.0.1', 6379);
$handler = new RedisSessionHandler($redis);
session_set_save_handler($handler, true);
session_start();
?>

方案二：資料庫（MySQL/PostgreSQL）

<?php
// 建立 Session 表
CREATE TABLE sessions (
    id VARCHAR(128) PRIMARY KEY,
    data TEXT NOT NULL,
    expiry INT UNSIGNED NOT NULL,
    INDEX idx_expiry (expiry)
);

class DbSessionHandler implements SessionHandlerInterface {
    private PDO $pdo;
    public function __construct(PDO $pdo) { $this->pdo = $pdo; }
    
    public function open($path, $name): bool { return true; }
    public function close(): bool { return true; }
    
    public function read($id): string|false {
        $stmt = $this->pdo->prepare('SELECT data FROM sessions WHERE id = ? AND expiry > ?');
        $stmt->execute([$id, time()]);
        return $stmt->fetchColumn() ?: '';
    }
    
    public function write($id, $data): bool {
        $expiry = time() + (int)ini_get('session.gc_maxlifetime');
        $stmt = $this->pdo->prepare('
            INSERT INTO sessions (id, data, expiry) VALUES (?, ?, ?)
            ON DUPLICATE KEY UPDATE data = VALUES(data), expiry = VALUES(expiry)
        ');
        return $stmt->execute([$id, $data, $expiry]);
    }
    
    public function destroy($id): bool {
        $stmt = $this->pdo->prepare('DELETE FROM sessions WHERE id = ?');
        return $stmt->execute([$id]);
    }
    
    public function gc($maxlifetime): int|false {
        $stmt = $this->pdo->prepare('DELETE FROM sessions WHERE expiry < ?');
        $stmt->execute([time()]);
        return $stmt->rowCount();
    }
}

// 註冊
$handler = new DbSessionHandler($pdo);
session_set_save_handler($handler, true);
session_start();
?>

方案三：JWT 無狀態替代方案

適合微服務、Serverless 架構，Session 資料編碼在 Token 中，伺服器無需儲存：

<?php
// 使用 firebase/php-jwt
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$key = 'your-secret-key';
$payload = [
    'uid' => 12345,
    'permissions' => ['read', 'write'],
    'exp' => time() + 3600,
    'iat' => time(),
];

$token = JWT::encode($payload, $key, 'HS256');
// 客戶端儲存於 HttpOnly Cookie 或 localStorage

// 驗證
try {
    $decoded = JWT::decode($token, new Key($key, 'HS256'));
    // $decoded->uid 可用
} catch (Exception $e) {
    // Token 無效/過期
}
?>

效能優化建議

• 延遲啟動：僅在需要時呼叫 session_start()
• 唯讀 Session：session_start(['read_only' => true]) 避免鎖定
• 關閉自動啟動：session.auto_start = 0
• 垃圾回收調優：session.gc_probability = 1, session.gc_divisor = 1000 (0.1% 機率)
• 序列化優化：session.serialize_handler = igbinary (需擴展)

常見問題排查

Session 是狀態管理基石，正確配置安全參數、選擇適合架構的儲存後端，是建立穩健 Web 應用的關鍵。