如何配置ThinkPHP支持分布式系统的Session共享_RedisToken与JWT鉴权对比-ThinkPHP-PHP中文网

thinkphp用redis存session需配置session_type为redis、写全redis连接参数、设非默认key前缀；redistoken适合需实时管控场景，jwt适合无状态api；redis故障时tp不自动降级，须手动健康检查与兜底。

如何配置thinkphp支持分布式系统的session共享_redistoken与jwt鉴权对比

默认的文件型 Session 在分布式部署下直接失效，因为不同服务器无法共享文件。必须切到 Redis——不是加个配置就行，关键在 session_handler 和 redis_host 的实际连通性。

实操建议：

确认 thinkphp/library/think/cache/driver/Redis.php 存在且可用（5.1+ 默认带，6.x 需检查是否被覆盖）
session_type 必须设为 redis，不能只配 cache_type
Redis 连接参数要写全：redis_host、redis_port、redis_password（空密码也得显式写 ''，否则会报 NOAUTH Authentication required）
Session key 前缀别用默认 think_session:，多个项目共用 Redis 时容易冲突，建议改成 tp_appname_session:

RedisToken 是服务端有状态的 token：登录后存进 Redis，每次请求校验存在性和有效期；JWT 是无状态的，token 自带签名和 payload，服务端只验签不查库。两者不是“谁更好”，而是“谁更匹配你的部署结构”。

实操建议：

用 RedisToken：适合需要实时踢人、修改权限立刻生效、或 Redis 已稳定承载 Session 的场景；注意 redis_expire 要比前端 token 过期时间多留 1–2 分钟，避免因网络延迟导致刚续期就失效
用 JWT：适合纯 API 服务、横向扩缩容频繁、不想强依赖 Redis 的情况；但要注意 think-jwt 类库默认不校验 nbf 字段，若前端传了未来时间的 nbf，可能跳过验证，需手动加 if (isset($payload['nbf']) && time()
别混用：同一个系统里既存 Redis 又发 JWT，等于双倍维护成本，且刷新逻辑极易出错

负载均衡器没做 sticky session，用户请求随机打到不同机器，但 PHPSESSID 还是那个，Redis 里却查不到——这不是配置问题，是 Session ID 被复用或未及时销毁。

实操建议：

登录成功后必须调用 session_regenerate_id(true)（TP 封装为 session()->regenerate()），否则旧 ID 仍有效，攻击者截获就能冒用
登出时不仅要删 Redis 里的 key，还要调用 session_destroy() + setcookie('PHPSESSID', '', time()-3600)，否则浏览器 cookie 还带着旧 ID，下次请求又自动重建
前端不要把 PHPSESSID 放在 URL 里传（比如 ?PHPSESSID=xxx），会被日志、代理缓存，直接暴露

ThinkPHP 默认不会 fallback 到 file session，一旦 Redis 不可用，session_start() 抛 RedisException，整个请求 500。所谓“自动降级”只是文档错觉。

实操建议：

上线前必须加 Redis 健康检查：在 app/common.php 或中间件里用 try { $redis->ping(); } catch (\RedisException $e) { Log::error('Redis unreachable'); exit('Service unavailable'); }
不要依赖 cache.driver = redis 同时管住 Session 和 Cache——Session 失败不可接受，Cache 失败可以容忍，应拆成两个独立连接配置
如果真要兜底，得自己写 Session 驱动继承 think\Cache，在 read() 里捕获异常后返回空数组，再 fallback 到 File 驱动，但这样就失去分布式意义了

Redis 连接池、超时时间、序列化方式这些细节，看着像配置项，其实一个不对，session_write_close() 就卡住几秒，用户端直接超时。别等压测才发现。