最常见原因是漏掉或错放session_start()：它必须位于脚本最顶部，不能有空格、bom、html或任何输出；其次检查session.save_path权限、cookie配置及gc生命周期设置。
必须在任何输出前调用 session_start()，否则 $_SESSION 不可用，且会报 “Headers already sent” 错误。
为什么 $_SESSION 在页面刷新后为空？
最常见原因是漏掉或错放 session_start()：它必须出现在脚本最顶部，不能有空格、BOM、HTML、echo、print 甚至 UTF-8 BOM 字节。哪怕 <?php 前有一行空行，也会触发输出。
- 检查所有涉及
$_SESSION的 PHP 文件（包括被include或require的文件），每一份都得有且仅有一处session_start() - 确认没有其他文件（如配置文件、公共函数库）在
session_start()前输出了任意内容 - 用编辑器显示隐藏字符，排查 UTF-8 BOM —— 尤其是 Windows 下用记事本保存的文件极易带 BOM
- 如果用了输出缓冲（
ob_start()），它可能掩盖问题，但不解决根本；上线环境应禁用缓冲来暴露真实错误
session_start() 调用后仍无法写入 $_SESSION？
这通常不是语法问题，而是运行时环境限制或配置冲突：
-
session.save_path目录不存在、不可写，或磁盘已满 —— 检查phpinfo()中的session.save_path值，并用is_writable()验证 -
session.save_handler被设为redis或memcached，但对应扩展未启用或服务未运行 -
session.cookie_secure = 1但当前访问的是 HTTP（非 HTTPS），导致 Cookie 未发送，服务端收不到PHPSESSID -
session.use_cookies = 0且未启用session.use_trans_sid，客户端禁用 Cookie 时会彻底失效
如何安全地读写 $_SESSION 中的用户数据？
不要把敏感字段（如密码、token 原文）直接塞进 $_SESSION；更别用 $_SESSION 存储数据库原始结果集 —— 容易引发内存膨胀和类型混乱。
- 只存必要标识：登录后写入
$_SESSION['user_id']和$_SESSION['role']，其他信息按需查库 - 写入前过滤：比如
$_SESSION['username'] = filter_var($_POST['username'], FILTER_SANITIZE_STRING) - 读取时校验存在性：
if (isset($_SESSION['user_id']) && is_numeric($_SESSION['user_id'])) { ... } - 退出时用
$_SESSION = [];+session_destroy();+setcookie('PHPSESSID', '', time() - 3600, '/');彻底清理
真正容易被忽略的点是：session ID 的生命周期和存储方式不是由 $_SESSION 控制的，而是由 session.cookie_lifetime、session.gc_maxlifetime 和客户端 Cookie 设置共同决定的。哪怕你反复写 $_SESSION['last_active'] = time()，如果 GC 时间太短或 Cookie 过期，数据照样丢。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
