Session 是 PHP 維持狀態的核心機制，但 session_start() 相關錯誤困擾無數開發者。本文彙整 10 大高頻問題，從原理剖析到解決方案，並提供生產環境最佳實踐清單。
Warning: Cannot send session cookie - headers already sent
Warning: Cannot send session cache limiter - headers already sent
原因：session_start() 必須在任何輸出 (HTML、空白、echo、print、BOM) 之前呼叫，因為它需發送 Set-Cookie Header。
解決：
session_start() 放在腳本第一行 (
?> (純 PHP 檔案建議省略)，避免後方空白輸出。ob_start()，結尾 ob_end_flush()。Warning: open(/path/to/sess_xxx, O_RDWR) failed: No such file or directory
原因：session.save_path 指向不存在或無寫入權限的目錄。
解決：
php.ini 設定：session.save_path = "C:/tmp" (Windows) 或 /var/lib/php/sessions (Linux)。mkdir -p /var/lib/php/sessions && chown www-data:www-data /var/lib/php/sessions && chmod 700 /var/lib/php/sessions。session_save_path('/custom/path'); session_start(); (需在 session_start() 前呼叫)。Warning: Trying to destroy uninitialized session
原因：直接呼叫 session_destroy() 而未先 session_start()。
解決：
<?php
session_start(); // 必須先啟動
$_SESSION = []; // 清空陣列
if (ini_get("session.use_cookies")) {
$params = session_get_cookie_params();
setcookie(session_name(), '', time() - 42000,
$params["path"], $params["domain"],
$params["secure"], $params["httponly"]
);
}
session_destroy(); // 最後銷毀
方法：
session_id() - 回傳目前 ID (需已 session_start())SID 常數 - 若使用 Cookie 傳遞 ID 則為空字串，否則為 PHPSESSID=xxx 格式，適合非 Cookie 環境傳遞 ID。現象：主程式無輸出，但 include('config.php') 後報 Header 錯誤。
原因：被 include 檔案結尾 ?> 後有空白行、換行或 BOM。
解決：
?>ob_start() 包裹 include：ob_start(); include 'config.php'; ob_end_clean();。標準模式：
<?php
session_start();
// 登入成功時
$_SESSION['user_id'] = $userId;
$_SESSION['logged_in'] = true;
$_SESSION['last_activity'] = time();
// 每頁驗證
if (empty($_SESSION['logged_in']) || $_SESSION['logged_in'] !== true) {
header('Location: /login.php');
exit;
}
// 選擇性：閒置超時 (30 分鐘)
if (time() - $_SESSION['last_activity'] > 1800) {
session_unset();
session_destroy();
header('Location: /login.php?timeout=1');
exit;
}
$_SESSION['last_activity'] = time();
現象：session_register('var') 後 header('Location: ...')，下一頁讀不到變數。
原因：舊版 PHP (4.x) 在某些 SAPI 下，重導向前 Session 寫入尚未完成。
解決：
$_SESSION['var'] = $value (PHP 4.1+ 推薦)，棄用 session_register()。session_write_close() 強制寫入儲存：<?php
session_start();
$_SESSION['user'] = $username;
session_write_close(); // 關鍵：確保 Session 資料寫入儲存介質
header('Location: next.php');
exit;
正確方式：直接指派陣列給 $_SESSION 鍵值：
<?php
session_start();
$_SESSION['cart'] = [
['product_id' => 1, 'qty' => 2],
['product_id' => 5, 'qty' => 1],
];
// 讀取
$cart = $_SESSION['cart'] ?? [];
舊文檔提到「先註冊後賦值」是session_register()時代的錯誤用法，現代 PHP 直接操作$_SESSION即可。
三種等效方式 (PHP 4.1+)：
$_SESSION['key'] (推薦，最簡潔)$HTTP_SESSION_VARS['key'] (已棄用，PHP 6 移除)$_SESSION 為超全域，無需 global 關鍵字。| 函數 | 作用 | 狀態 |
|---|---|---|
session_unregister('var') | 註銷單一 Session 變數 (從 $_SESSION 移除) | 已棄用 PHP 5.3，移除 PHP 5.4 |
unset($_SESSION['var']) | 現代替代：移除單一變數 | 推薦 |
session_destroy() | 銷毀伺服器端 Session 資料檔案，不清除 $_SESSION 陣列、不刪除 Cookie | 標準登出流程一部分 |
完整登出流程：
<?php
session_start();
$_SESSION = []; // 清空陣列
// 刪除 Session Cookie
if (ini_get("session.use_cookies")) {
$params = session_get_cookie_params();
setcookie(session_name(), '', time() - 42000,
$params["path"], $params["domain"],
$params["secure"], $params["httponly"]
);
}
session_destroy(); // 刪除伺服器端儲存檔案
php.ini)：
session.cookie_httponly = 1 ; 防 XSS 竊取
session.cookie_secure = 1 ; 僅 HTTPS 傳輸 (需全站 HTTPS)
session.cookie_samesite = "Lax" ; CSRF 防護 (Strict/Lax/None)
session.use_strict_mode = 1 ; 拒絕未初始化的 Session ID
session.sid_length = 48 ; 更長 ID (PHP 7.1+)
session.sid_bits_per_character = 6 ; Base64 編碼
files，分散式請改用 Redis (session.save_handler = redis, session.save_path = "tcp://127.0.0.1:6379") 或 Memcached，支援叢集、高可用、TTL 自動清理。session_regenerate_id(true)。session.gc_maxlifetime = 1800 (30 分鐘)，搭配程式碼層面 last_activity 檢查。session.cookie_domain = ".example.com"。session.use_trans_sid = 0 (防 URL 洩漏 ID)。Session 問題多源於「輸出時機」、「儲存路徑權限」、「舊式 API 殘留」與「分散式架構儲存不當」。掌握 session_start() 必須在輸出前、善用 session_write_close() 釋放鎖、棄用 session_register/session_unregister、升級至 Redis 儲存與安全 Cookie 設定，即可解決 99% 的 Session 疑難雜症，構建穩健可擴展的狀態管理體系。
