“headers already sent”错误主因是bom或空白字符：文件须为utf-8无bom编码，php标签前后不可有空格/换行；包含文件也需检查干净；phpenv中还需确认session.save_path权限、cookie_domain隔离及关闭session.auto_start。
session_start() 报“headers already sent”？先查 BOM 和空白字符
绝大多数本地开发环境（包括 phpEnv）下出现 session_start() 警告，根本原因不是配置错，而是文件开头藏了不可见的 UTF-8 BOM 字节，或 PHP 标签前/后有空格、换行。phpEnv 自带的 Apache + PHP 组合对这类输出极其敏感。
实操建议：
- 用 VS Code 或 Notepad++ 打开报错的 PHP 文件，检查「编码」是否为 UTF-8 无 BOM；有 BOM 就另存为 UTF-8（无签名）
- 确认
<?php前没有任何字符（包括空格、tab、换行），?>后也不能有多余换行——干脆删掉?>结束标签更安全 - 如果用了
include或require，逐个检查被包含文件是否也干净——一个脏文件就能污染整个链路
phpEnv 中 session.save_path 权限不生效？别信默认路径
phpEnv 默认可能沿用系统级 session.save_path（如 /tmp），但 Windows 下 Apache 服务账户（通常是 SYSTEM 或 LocalSystem）未必有写入权限，或路径根本不存在。你看到 open(/tmp/sess_..., O_RDWR) failed: Permission denied 就是这个信号。
实操建议：
- 在 phpEnv 控制面板里点「PHP 配置」→ 找到
session.save_path，改成绝对路径，例如：C:/phpEnv/tmp/session - 手动创建该目录，并右键 → 「属性」→ 「安全」→ 给运行 Apache 的用户（如 Users 或 IIS_IUSRS）赋予「修改」权限
- 重启 phpEnv 的 Apache 服务，再用
var_dump(ini_get('session.save_path'));确认值已更新且路径可写
多个站点共用 PHPSESSID 导致会话覆盖？必须隔离 cookie_domain
phpEnv 常用于同时跑 local.site1.com 和 local.site2.com，但若没设 session.cookie_domain，浏览器会把两个站的 PHPSESSID Cookie 混着发——A 站生成的 session 文件，B 站用相同 ID 去读，结果 $_SESSION 是空的，看似启动成功实则加载失败。
实操建议：
- 在每个站点入口文件（如
index.php）最顶部、session_start()之前加：ini_set('session.cookie_domain', 'local.site1.com'); - 注意：不要加前导点（如
.local.site1.com），除非你明确需要子域共享；phpEnv 本地开发推荐精确匹配 - 顺便加固：
ini_set('session.cookie_httponly', 1); ini_set('session.cookie_secure', 0);（后者设 0 因本地无 HTTPS）
phpEnv 启动时自动开启 session？关掉 session.auto_start
某些 phpEnv 版本打包的 php.ini 里 session.auto_start = 1 是开着的。这会导致 PHP 在脚本执行前就尝试启动会话——一旦此时已有输出（比如错误日志、echo、甚至 PHP 扩展的 warning），就会直接触发 “headers already sent” 报错，且你根本找不到哪行代码调用了 session_start()。
实操建议：
- 打开 phpEnv 安装目录下的
php/php.ini，搜索session.auto_start，确保它为：session.auto_start = 0 - 改完必须重启 Apache，否则不生效；改错会导致整个 PHP 无法解析，页面空白
- 验证方式：新建
info.php写<?php phpinfo(); ?>，浏览器访问后搜auto_start，确认显示Off
session_start() 本身，而是它暴露了文件编码、路径权限、Cookie 作用域、启动时机这四个隐性环节的冲突。任何一个没对齐，都会让会话看起来“启动了”，却始终读不到数据。php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
