PHP Session 概念深度解析：從 HTTP 無狀態到伺服器端狀態管理

HTTP 協定本質是無狀態的，每次請求獨立，伺服器無法辨識同一用戶的多次請求。Session 機制透過 Session ID（通常存於 Cookie）將分散的請求關聯起來，在伺服器端建立持久化儲存空間，實現跨請求的狀態保持。

核心定義

• Session：特定用戶與伺服器互動的時間區間，從首次訪問至瀏覽器關閉（或逾時銷毀）。
• Session ID：唯一識別碼，透過 Cookie（預設 PHPSESSID）或 URL 參數傳遞。
• Session 資料：存放於伺服器端（預設檔案系統 session.save_path），對應 Session ID 的鍵值對集合。

運作流程

1. 用戶首次請求 → PHP 啟動 Session（session_start()） → 產生 Session ID → 以 Set-Cookie 回應瀏覽器。
2. 瀏覽器後續請求自動攜帶 Cookie → PHP 讀取 Session ID → 載入對應 Session 資料至 $_SESSION 超全域陣列。
3. 腳本結束前自動序列化 $_SESSION 寫回儲存介質。

關鍵特性

基本操作範例

<?php
// 必須在任何輸出前呼叫
session_start();

// 寫入
$_SESSION['username'] = 'wind';
$_SESSION['login_time'] = time();

// 讀取
echo "歡迎，" . $_SESSION['username'];

// 刪除單一鍵
unset($_SESSION['login_time']);

// 銷毀整個 Session
session_destroy(); // 並不會立即清除 $_SESSION，需搭配 $_SESSION = [];
?>

進階議題

• Session 劫持防護：啟用 session.cookie_httponly=1、session.cookie_secure=1（HTTPS）、定期 session_regenerate_id(true)。
• 分散式 Session：多伺服器架構需共享儲存，可用 Redis、Memcached、資料庫實作 SessionHandlerInterface。
• 無 Cookie 環境：透過 session.use_trans_sid=1 自動在 URL 附加 SID，但有安全風險（記錄檔洩漏）。

總結

Session 是 PHP 解決 HTTP 無狀態的核心機制，將狀態移至伺服器端，兼顧安全與便利。理解其生命週期、儲存機制與安全設定，是建構健壯 Web 應用的基礎。