不绕过。thinkphp session门面类底层仍调用php原生session_start()，仅封装启动时机与生命周期管理，未禁用或替换session.save_handler，混用原生$_session易导致数据不同步。

ThinkPHP Session门面类是否绕过PHP原生session_start？

不绕过。Session门面类（Session::set()、Session::get()等）底层仍依赖PHP原生session机制——只是封装了session_start()调用时机，并自动管理生命周期。它不会禁用或替换PHP的session.save_handler，也不会阻止你代码里误调session_start()引发冲突。

• 门面类在首次调用Session::get()或Session::set()时，会检查session_status() === PHP_SESSION_NONE，然后自动执行session_start()
• 但如果在控制器/中间件中提前写了session_start()，且此时session.save_handler还是files，那TP门面写Redis、PHP自己却往文件写，$_SESSION就永远读不到Redis里的值
• 门面类无法感知你是否在php.ini里开了session.auto_start = 1（PHP 8.0已废弃），这种配置下再调session_start()会报Warning，但TP门面照常运行，容易掩盖问题

为什么“废弃Session原生处理”实际是关掉PHP session机制

所谓“废弃”，不是弃用ThinkPHP的Session门面，而是停用PHP内核级的session模块——因为只要session.save_handler没被设为user或redis，TP门面最终还是会落到files驱动上，和直接操作$_SESSION没本质区别。

• 必须确保ini_set('session.save_handler', 'user')或通过php.ini设置session.save_handler = redis，否则TP的'driver' => 'redis'配置无效
• TP 6.x 的RedisSession实现是基于SessionHandlerInterface，它通过session_set_save_handler()接管读写，但前提是PHP没在你之前就用files启动过session
• 常见错误现象：Redis里能看到sess:xxx key，但Session::get('user_id')返回null——大概率是某处中间件或公共函数偷偷执行了session_start()，触发了PHP默认文件驱动

Session门面类与原生$_SESSION混用的坑

不能混。TP门面类和$_SESSION不是双向同步的镜像关系；它们共用同一个session ID，但数据来源取决于当前生效的handler。一旦你手动改了$_SESSION，而handler还是files，TP门面从Redis读，你就读不到自己写的值。

• 禁止在同一个请求里：先调Session::set('token', 'abc')，再写$_SESSION['user'] = 123——除非你确认session.save_handler已是redis且前缀隔离
• 销毁逻辑必须统一：用Session::destroy()，而不是session_destroy() + $_SESSION = []，否则可能只清了文件、没删Redis key
• Session::clear()只清数据不删ID；Session::destroy()既清数据又让当前ID失效（下次请求会生成新ID），这点和原生session_destroy()行为一致，但底层动作取决于你配的driver

真正“废弃原生”的最小安全配置清单

不是删掉session_start()就行，而是让PHP原生session机制彻底失能，把控制权100%交给TP门面和它的驱动。

• 在php.ini或.htaccess中设：session.auto_start = 0、session.use_cookies = 0（若用JWT等无Cookie方案）、session.use_trans_sid = 0
• 确认config/session.php中'driver' => 'redis'，且'redis' => ['prefix' => 'sess:']（别和cache共用tp6:）
• 全局搜索项目代码，删掉所有session_start()、session_write_close()、ini_set('session.*')调用——TP门面内部已处理
• 上线前验证：var_dump(session_status(), ini_get('session.save_handler')); 应输出 2（PHP_SESSION_ACTIVE）和 redis

最麻烦的从来不是配Redis，而是清理掉那些“以为自己在帮忙”的旧代码——它们藏在中间件、基础控制器、甚至vendor包的初始化脚本里，不grep一遍根本发现不了。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！