PHP Session 登出最佳實踐：單頁與框架頁面的跳轉處理

使用 Session 管理用戶登入狀態時，登出操作看似簡單，但處理不當容易導致「框架頁面內跳轉」或「Session 殘留」等問題。本文梳理標準登出流程，並針對一般頁面與框架頁面提供最佳實踐代碼。

核心登出步驟

1. 啟動 Session：session_start() 必須在任何輸出前調用。
2. 銷毀 Session 資料：session_destroy() 刪除伺服器端 Session 檔案，但 $_SESSION 變數在當前請求中仍可用。
3. 清空 $_SESSION（建議）：$_SESSION = [] 確保當前請求不再讀到舊資料。
4. 刪除 Session Cookie（可選但推薦）：setcookie(session_name(), '', time()-3600, '/') 徹底清除客戶端 Cookie。
5. 導向登入頁：輸出 JavaScript 跳轉，避免 header() 因前有輸出失效。

一般頁面登出範例

<?php
session_start();
// 1. 清空陣列
$_SESSION = [];
// 2. 刪除伺服器端 Session 檔案
session_destroy();
// 3. 刪除客戶端 Cookie（可選）
if (ini_get('session.use_cookies')) {
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params['path'], $params['domain'],
        $params['secure'], $params['httponly']
    );
}
?>
<script>
alert('已成功登出！');
location.href = 'login.php';
</script>

框架/Iframe 頁面登出關鍵差異

若登出頁面嵌套在 <iframe> 或 <frame> 中，使用 location.href 只會在框架內跳轉，導致「頁中頁」體驗極差。必須使用 parent.location.href 或 top.location.href 強制頂層頁面跳轉。

框架頁面專用登出代碼

<?php
session_start();
$_SESSION = [];
session_destroy();

// 刪除 Session Cookie
if (ini_get('session.use_cookies')) {
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params['path'], $params['domain'],
        $params['secure'], $params['httponly']
    );
}
// 輸出跳轉腳本，針對框架頁面
echo "<script>alert('已成功登出！'); parent.location.href = 'login.php';</script>";
?>

進階：封裝為通用登出函數

<?php
/**
 * 統一登出處理
 * @param string $redirectUrl 登出後導向網址
 * @param bool   $isFrame     是否在框架/iframe 中
 */
function logout(string $redirectUrl = 'login.php', bool $isFrame = false): never {
    if (session_status() === PHP_SESSION_NONE) {
        session_start();
    }
    $_SESSION = [];
    session_destroy();

    if (ini_get('session.use_cookies')) {
        $params = session_get_cookie_params();
        setcookie(session_name(), '', time() - 42000,
            $params['path'], $params['domain'],
            $params['secure'], $params['httponly']
        );
    }

    // 防止輸出緩衝導致 header 失效，統一用 JS 跳轉
    $target = $isFrame ? "parent.location.href" : "location.href";
    echo "<script>alert('已成功登出！'); {$target} = '" . htmlspecialchars($redirectUrl, ENT_QUOTES) . "';</script>";
    exit;
}

// 使用範例
// 一般頁面：logout();
// 框架頁面：logout('login.php', true);
?>

常見坑點提醒

• session_start() 位置：必須在任何 HTML/空白輸出之前，否則會觸發 Headers already sent 警告。
• session_destroy() 不清空 $_SESSION：僅刪除儲存檔案，當前請求的 $_SESSION 仍保留，務必手動清空。
• Cookie 參數一致性：刪除 Cookie 時的 path、domain、secure、httponly 必須與設定時一致，否則無法刪除。
• 避免使用 header() 跳轉：登出頁通常已有輸出（如 alert），改用 JS 跳轉更穩妥。

安全性補充

登出後建議實作 CSRF 保護 與 防止會話固定攻擊：登入時重新生成 Session ID（session_regenerate_id(true)），登出時徹底銷毀。若系統支援「全部裝置登出」，需在資料庫維護用戶的有效 Session 列表或版本號，登出時標記失效。

掌握這些細節，能讓你的登出功能在單頁、多頁、框架頁等各種場景下都表現穩健專業。