PHP Session 使用完整指南：啟動、儲存、讀取、銷毀與安全設定

前言

Session 是 Web 應用維持用戶狀態的核心機制。PHP 透過 $_SESSION 超全域陣列提供直觀介面，本文涵蓋完整生命週期操作與生產環境安全加固。

基本操作流程

<?php
// 1. 啟動 (每個頁面最頂端，輸出前呼叫)
session_start();

// 2. 儲存 (支援純量、陣列、物件)
$_SESSION['user_id']   = 12345;
$_SESSION['username']  = 'admin';
$_SESSION['roles']     = ['admin', 'editor'];
$_SESSION['cart']      = ['item1' => 2, 'item2' => 1];

// 3. 讀取
$userId = $_SESSION['user_id'] ?? null;
$roles  = $_SESSION['roles'] ?? [];

// 4. 刪除單一變數
unset($_SESSION['cart']);

// 5. 銷毀整個 Session (登出)
session_unset();     // 清空 $_SESSION 陣列
session_destroy();   // 刪除伺服器端 Session 檔案 + 發送刪除 Cookie

// 6. 取得 Session ID
$sid = session_id(); // 或常數 SID

關鍵設定 (php.ini 或 ini_set)

進階：自訂 Session Handler (Redis 範例)

class RedisSessionHandler implements SessionHandlerInterface {
    private $redis;
    public function __construct() {
        $this->redis = new Redis();
        $this->redis->connect('127.0.0.1', 6379);
    }
    public function open($savePath, $sessionName) { return true; }
    public function close() { return true; }
    public function read($id) { return $this->redis->get("session:$id") ?: ''; }
    public function write($id, $data) { return $this->redis->setex("session:$id", 1800, $data); }
    public function destroy($id) { return $this->redis->del("session:$id"); }
    public function gc($maxlifetime) { return true; } // Redis 自動過期
}

$handler = new RedisSessionHandler();
session_set_save_handler($handler, true);
session_start();

安全最佳實務

1. HTTPS 全站強制：session.cookie_secure=1。
2. HttpOnly + SameSite：PHP 7.3+ session_set_cookie_params(['httponly'=>true, 'samesite'=>'Lax'])。
3. 重新生成 ID：登入成功、權限變更時呼叫 session_regenerate_id(true) 防止 Session Fixation。
4. 敏感資料加密：Session 中儲存 Token、個資時應加密 (如 openssl_encrypt)。
5. 定期清理：配合 session.gc_probability/gc_divisor 調整 GC 頻率。

總結

Session 操作核心只有 session_start()、$_SESSION、session_destroy() 三大動作，但生產環境的儲存引擎選擇、Cookie 安全屬性、分散式同步、ID 再生成等細節決定系統穩定度與安全性。建立統一的 Session 管理類/服務，集中處理這些關鍵點。

1. 上一篇文章： PHP 陣列定義與使用完整入門：索引、關聯、多維陣列範例
2. 下一篇文章： ThinkPHP 驗證碼無法顯示的完整解決方案

PHP 相關知識

CentOS/RHEL/Fedora 安裝 Nginx + PHP-FPM 生產環境完整指南

架構認知 PHP-FPM：PHP FastCGI 進程

Discuz! X3.2 接入騰訊企業郵箱實現註冊郵箱驗證

目標 防止垃圾用戶批量註冊，通過郵箱驗證機制提升用戶真實性。

Facebook 架構與優化經驗總結：LAMP、Memcached、MySQL 分片、系統優化與前端技術

Facebook 技術概況（2008 年數據） 日活用

.NET 轉 PHP Laravel 框架學習系列：Windows IIS 環境搭建全紀錄

.NET 轉 PHP Laravel 框架學習系列：Wind