PHP session_start() 警告錯誤完整解決指南

常見錯誤訊息

Warning: session_start(): open(/var/lib/php/session/sess_xxx, O_RDWR) failed: Permission denied (13)
Warning: Unknown: open(/var/lib/php/session/sess_xxx, O_RDWR) failed: Permission denied (13)
Warning: Unknown: Failed to write session data (files); Please verify that the current setting of session.save_path is correct

核心原因分析

session_start() 失敗通常源於三大類問題：

1. 儲存路徑不存在或不可寫：session.save_path 指向的目錄缺失、權限錯誤、或屬主不符
2. SELinux / 安全模式限制：CentOS/RHEL 等系統預設限制 httpd 存取 /tmp 以外目錄
3. 輸出已送出：在 session_start() 前有 echo、空白字元、BOM 標記等輸出

分環境解決方案

Windows + IIS

; php.ini
session.save_path = "C:\php\session_temp"
; 建立資料夾並給予 IIS_IUSRS 修改權限
; icacls "C:\php\session_temp" /grant "IIS_IUSRS:(OI)(CI)M"

Linux + Apache/Nginx (PHP-FPM)

方案一：修正儲存路徑權限（推薦）

# 1. 建立專屬 session 目錄 (避免使用 /tmp)
mkdir -p /var/lib/php/session
chown www-data:www-data /var/lib/php/session  # 依實際 PHP-FPM 使用者調整
chmod 700 /var/lib/php/session

# 2. 修改 php.ini
session.save_path = "/var/lib/php/session"
session.save_handler = files

# 3. 重載 PHP-FPM
systemctl reload php-fpm

方案二：SELinux 環境（CentOS/RHEL/AlmaLinux）

# 檢查 SELinux 狀態
getenforce

# 允許 httpd 讀寫 session 目錄
semanage fcontext -a -t httpd_var_run_t "/var/lib/php/session(/.*)?"
restorecon -Rv /var/lib/php/session

# 或暫時設為 Permissive (不建議生產環境)
setenforce 0

方案三：程式碼層面動態指定 (不修改 php.ini)

<?php
// 必須在 session_start() 之前呼叫
$savePath = '/data/www/session'; // 專案專屬目錄
if (is_dir($savePath) && is_writable($savePath)) {
    session_save_path($savePath);
} else {
    // 目錄不存在嘗試建立
    if (mkdir($savePath, 0700, true)) {
        chown($savePath, 'www-data'); // 需 root 權限或預先建立
        session_save_path($savePath);
    } else {
        // 降級處理：使用系統預設但記錄錯誤
        error_log("Session save path not writable: $savePath");
    }
}
session_start();
?>

進階排查步驟

1. 確認實際生效的 php.ini：建立 檢查 session.save_path 與 session.save_handler 實際值
2. 檢查錯誤日誌：tail -f /var/log/php-fpm/error.log 或 Apache error_log
3. 驗證目錄權限：ls -ld /var/lib/php/session 確認擁有者與模式
4. 測試腳本：

   <?php
   session_start();
   var_dump(session_id());
   $_SESSION['test'] = time();
   echo "OK";
   ?>

常見誤區

最佳實踐總結

• **專案隔離**：每個專案使用獨立 session.save_path (如 /data/projectA/session)
• **權限最小化**：目錄擁有者 = PHP-FPM 使用者，權限 700
• **監控告警**：定期檢查 session 目錄檔案數量，防止 inode 耗盡
• **考慮 Redis**：高併發/分散式環境建議改用 session.save_handler = redis