PHP 實現 HTTP/HTTPS 跨域共享 Session 解決方案

問題背景

同一主域名下，HTTP 與 HTTPS 頁面互相跳轉時，Session 失效。根因：session.cookie_secure 導致 HTTPS 下設的 Cookie 不發送給 HTTP，反之亦然；且跨協議屬於「跨域」，瀏覽器默認阻攔第三方 Cookie。

核心原理

手動同步 Session ID：在跳轉鏈接中攜帶 session_id 參數，目標頁面讀取並 session_id($id) 後再 session_start()，強制使用同一 Session。

實現代碼

HTTP 頁面（生成跳轉鏈接）

跳轉到 HTTPS 頁面';
?>

HTTPS 頁面（接收並恢復 Session）

安全風險與加固

進階方案：統一 Session 存儲 + 域名共享 Cookie

若 HTTP/HTTPS 同屬一主域（如 example.com），推薦配置共享 Cookie：

; php.ini 或 runtime 設置
session.cookie_domain = ".example.com"  ; 顯式設置根域（前綴點）
session.cookie_secure = 0               ; 允許 HTTP 傳輸（若全站 HTTPS 改為 1）
session.cookie_httponly = 1             ; 禁止 JS 訪問
session.cookie_samesite = "Lax"         ; 平衡安全與體驗
session.use_strict_mode = 1             ; 拒絕未初始化的 ID
session.sid_length = 32                 ; 增加 ID 長度
session.sid_bits_per_character = 5      ; 更大熵空間

配合 session_set_save_handler() 使用 Redis/Memcached 集中存儲，多台服務器、多協議自動共享，無需手動傳遞 ID。

Magento 實踐案例

老高曾遇 Magento 站點 Cookie 失效數天，最終發現是 HTTP/HTTPS 混用導致 Cookie 域/安全屬性衝突。統一遷移至全站 HTTPS 並配置上述參數後問題徹底解決。

總結

• 臨時/簡單場景：URL 傳遞 Session ID，但需加固安全。
• 生產/長期項目：全站強制 HTTPS + 共享 Cookie 域 + 集中式 Session 存儲，徹底消除協議切換帶來的 Session 斷裂。