如何在子域名间共享 PHP Session 数据-php教程-PHP中文网

如何在子域名间共享 PHP Session 数据

本文详解如何正确配置 php session，使其在主域名与子域名之间无缝共享，涵盖 cookie 域设置、会话初始化时机、常见陷阱及完整可运行示例。

本文详解如何正确配置 php session，使其在主域名与子域名之间无缝共享，涵盖 cookie 域设置、会话初始化时机、常见陷阱及完整可运行示例。

在构建跨子域名的用户系统（如 domain.com 登录后跳转至 subdomain.domain.com）时，Session 无法自动传递是高频问题。根本原因并非 Session 本身不支持跨域，而是 Session ID 的载体——Cookie 默认作用域受限。PHP 默认将 session cookie 绑定到当前完整主机名（如 domain.com），而不会自动向 subdomain.domain.com 发送，导致子域名无法识别同一会话。

✅ 正确配置步骤（关键三要素）

统一设置 session.cookie_domain
必须在启动会话前（即 session_start() 之前）通过 ini_set() 或 php.ini 设置 Cookie 作用域为根域名（带前导点号）：
```
// domain.com/login.php 和 subdomain.domain.com/index.php 中均需设置
ini_set('session.cookie_domain', '.domain.com');
session_start();
```
⚠️ 注意：.domain.com 中的前导点号 . 表示“此域名及其所有子域名”，缺一不可；若写成 domain.com（无点号）则仅匹配精确主机名，不生效于子域名。

确保 session_start() 是脚本中首个会话相关操作
session_start() 必须在任何输出（包括空格、BOM、HTML）之前调用。建议在文件顶部立即设置并启动：

<?php // subdomain.domain.com/index.php
ini_set('session.cookie_domain', '.domain.com');
session_start();

if ($_SESSION['login'] ?? false) {
    echo "Welcome, " . htmlspecialchars($_SESSION['user']);
} else {
    echo "You Don't Have Permission";
}
?>

验证协议与端口一致性（进阶注意）
若主站使用 HTTPS（如 https://domain.com），子域名也应使用 HTTPS 跳转，并确保 session.cookie_secure = 1（仅 HTTPS 传输）与 session.cookie_httponly = 1（防 XSS）等安全设置同步启用，否则 Cookie 可能被浏览器拒绝发送。

? 完整可验证流程示例

✅ domain.com/login.php

<?php // 强制设置跨子域 Cookie 域
ini_set('session.cookie_domain', '.domain.com');
ini_set('session.cookie_secure', 1);      // 生产环境启用 HTTPS
ini_set('session.cookie_httponly', 1);
session_start();

$_SESSION['login'] = 'ok';
$_SESSION['user'] = 'wh1z';

// 确保跳转 URL 协议一致（HTTPS → HTTPS）
header('Location: https://subdomain.domain.com/index.php');
exit;
?>

✅ subdomain.domain.com/index.php

Remix V2 Meta Sessions Review

审查 Remix v2 代码中的 v1 形态 meta 导出（v2 中为破坏性变更），cookie 安全漏洞（httpOnly、secure、密钥轮换），认证门位于错误层级，以及其他

下载

<?php ini_set('session.cookie_domain', '.domain.com');
ini_set('session.cookie_secure', 1);
ini_set('session.cookie_httponly', 1);
session_start();

if ($_SESSION['login'] === 'ok' && isset($_SESSION['user'])) {
    echo '<h2>Welcome, ' . htmlspecialchars($_SESSION['user']) . '';
} else {
    http_response_code(403);
    echo '<p>You Don\'t Have Permission</p>';
}
?>

❗ 常见错误排查清单

[ ] 是否在 session_start() 之前设置了 session.cookie_domain？
[ ] Cookie 域是否写为 .domain.com（带点号）而非 domain.com？
[ ] 主站与子域名是否使用相同协议（HTTP/HTTPS）？混合协议会导致 Cookie 被拦截。
[ ] 浏览器开发者工具 → Application → Cookies 中，是否能看到 PHPSESSID Cookie 的 Domain 显示为 .domain.com？
[ ] 是否存在多个 session_start() 或重复设置 session.cookie_domain？这可能导致配置覆盖。