PHP 自訂 Session 儲存機制：實作檔案型 Session Handler 完整教學

PHP 預設將 Session 資料儲存在伺服器暫存目錄（session.save_path），但實務上常需自訂儲存位置、格式，甚至改用資料庫、Redis、Memcached。本文示範如何透過 session_set_save_handler() 註冊六個回呼函數，打造一個**檔案型自訂 Session Handler**，並說明各回呼的職責與關鍵細節。

一、核心流程概覽

1. 取得目前 session_save_path()，若包含 ;（如 N;/path 表示分層），需解析實際路徑。
2. 定義六個回呼：open、close、read、write、destroy、gc（垃圾回收）。
3. 呼叫 session_set_save_handler() 註冊，再 session_start() 啟用。

二、完整實作程式碼

<?php
// 1. 解析真實儲存路徑
$sessionpath = session_save_path();
if (strpos($sessionpath, ';') !== false) {
    $sessionpath = substr($sessionpath, strpos($sessionpath, ';') + 1);
}

// 2. 定義回呼函數（使用全域變數保存路徑與名稱）
function open($save_path, $session_name) {
    global $sess_save_path, $sess_session_name;
    $sess_save_path = $save_path;
    $sess_session_name = $session_name;
    return true;
}

function close() { return true; }

function read($id) {
    global $sess_save_path;
    $sess_file = "$sess_save_path/sess_$id";
    if ($fp = @fopen($sess_file, 'r')) {
        $data = fread($fp, filesize($sess_file));
        fclose($fp);
        return $data;
    }
    return ''; // 必須回傳空字串，不可回傳 false
}

function write($id, $sess_data) {
    global $sess_save_path;
    $sess_file = "$sess_save_path/sess_$id";
    if ($fp = @fopen($sess_file, 'w')) {
        $ret = fwrite($fp, $sess_data);
        fclose($fp);
        return $ret;
    }
    return false;
}

function destroy($id) {
    global $sess_save_path;
    $sess_file = "$sess_save_path/sess_$id";
    return @unlink($sess_file);
}

function gc($maxlifetime) {
    // 檔案型通常由系統 cron 清理，這裡直接回傳 true
    return true;
}

// 3. 註冊並啟動
session_set_save_handler('open', 'close', 'read', 'write', 'destroy', 'gc');
session_start();

// 之後即可正常使用 $_SESSION
$_SESSION['user'] = 'demo';
?>

三、關鍵細節與避坑指南

• read() 必須回傳字串：失敗時回傳 ''，不可回傳 false 或 null，否則 PHP 會視為資料損毀並重新產生 Session ID。
• write() 回傳值：成功回傳寫入位元組數（int），失敗回傳 false。
• gc() 機制：PHP 依 session.gc_probability / session.gc_divisor 機率觸發；檔案型建議改用系統 cron 定期刪除過期 sess_* 檔案，效能更佳。
• 並發鎖定：預設檔案型無鎖定機制，高併發下可能導致資料競爭；生產環境建議改用 redis 或資料庫支援原子操作的 Handler。
• PHP 7+ 介面寫法：可改實作 SessionHandlerInterface 並傳遞物件實例給 session_set_save_handler()，程式碼更結構化。

四、擴充方向

• 將 read/write 改為 Redis::get/set，並用 EXPIRE 實作 gc。
• 儲存 JSON 格式，方便多語言共用 Session。
• 加入加密（openssl_encrypt）保護敏感 Session 資料。

掌握自訂 Session Handler，即可靈活掌控 Session 儲存策略，滿足分散式部署、安全合規與效能優化等進階需求。