PHP Session 會話機制詳解：從原理到用戶登入實戰

為什麼選擇 Session 而非 Cookie？

Session 通過 Session ID（默認名 PHPSESSID）關聯客戶端與服務器端數據，ID 存於 Cookie 或 URL 中，數據本體始終在服務器，大幅降低洩露風險。

核心 API 快速上手

啟動會話與註冊變量

<?php
session_start();           // 必須在任何輸出前調用
$_SESSION['admin'] = true; // 登入成功後標記
?>

驗證登入狀態

<?php
session_start();
if (isset($_SESSION['admin']) && $_SESSION['admin'] === true) {
    echo '您已成功登入';
} else {
    die('請先登入');
}
?>

登出銷毀

<?php
session_start();
unset($_SESSION['admin']); // 刪除單個變量
session_destroy();         // 徹底銷毀 Session 文件
?>

進階配置與優化

自定義存儲路徑（共享主機必備）

<?php
$savePath = __DIR__ . '/session_data';
session_save_path($savePath); // 必須在 session_start() 之前
session_start();
?>

確保目錄可讀寫且不可直接 Web 訪問。

設置生命週期

<?php
$lifeTime = 24 * 3600; // 1 天
session_set_cookie_params($lifeTime); // 或手動 setcookie(session_name(), session_id(), time()+$lifeTime, '/');
session_start();
?>

禁用 Cookie 環境下的 URL 傳遞

<?php
session_id($_GET[session_name()]); // 從 URL 獲取 ID
session_start();
?>

PHP 會自動在 URL 附加 PHPSESSID=...，亦可通過隱藏表單傳遞。

存儲複雜數據：陣列與對象

Session 原生支援陣列操作。對象會自動序列化/反序列化，但反序列化時需確保類定義已載入：

<?php
// output.php
ini_set('unserialize_callback_func', function($class) {
    include_once "$class.php";
});
session_start();
$person = $_SESSION['person'];
$person->output(); // 正常輸出
?>

最佳實踐清單

• 所有頁面統一在入口文件啟動 session_start()。
• 敏感操作前驗證 $_SESSION['admin'] === true（嚴格比較）。
• 定期清理過期 Session 文件（配合 session.gc_maxlifetime）。
• HTTPS 環境下啟用 session.cookie_secure = 1、session.cookie_httponly = 1。
• 重要系統考慮將 Session 存入 Redis/Memcached 實現分佈式共享。