ThinkPHP多域名应用如何实现统一退出 ThinkPHP跨域清除缓存与Session-ThinkPHP-PHP中文网

thinkphp多域名登出只清当前域session因cookie domain未设为根域（如.example.com），需统一配置session.domain、共享redis、并用中心化通知机制（如跨域postmessage或异步请求）实现全站登出。

thinkphp多域名应用如何实现统一退出 thinkphp跨域清除缓存与session

因为 PHP 的 session_set_cookie_params() 默认绑定到当前请求域名，session_destroy() 和 setcookie() 删除 Cookie 时未显式指定 domain 参数，导致其他子域或主域的 Session Cookie 仍存在。

常见现象：用户在 admin.example.com 登出后，仍能以登录态访问 api.example.com 或 www.example.com。

Session Cookie 的 domain 必须设为根域（如 .example.com），且开头带点号
ThinkPHP 5.1+ 中需在 config/session.php 显式配置：
```
'domain' => '.example.com',
```
若使用 Redis 存储 Session，还需确保所有子域共享同一 Redis 实例和 session_id 生成逻辑（默认一致）
注意浏览器同源策略：Cookie 的 domain 设置不能跨主域（.example.com 无法覆盖 other-site.com）

单靠销毁本地 Session 不够，必须让其他域名也“感知”到退出。推荐用「中心化登出通知」机制，而非依赖浏览器自动删 Cookie。

Session Memory

持久记忆工具包，专为AI智能体设计。保存上下文，基于相关性评分进行召回，整合洞察，跨会话追踪决策。功能...

下载

登出接口（如 /logout）中，调用 session_destroy() 后，向各可信子域发起异步 HTTP 请求触发其本地登出：
```
file_get_contents('https://api.example.com/api/v1/logout?token=' . $shared_sign);
```
各子域需提供配套的登出接口，校验 $shared_sign（建议用 HMAC-SHA256 + 时间戳防重放）
更轻量的做法：登出后跳转至一个中间页（如 https://sso.example.com/logout?redirect=...)），由该页面向所有子域 iframe 发送 postMessage，各子域监听并执行本地 session_destroy()
避免直接用 JS 遍历 document.cookie 删除 —— 无法删除 HttpOnly Cookie，且跨域受限

前后端分离场景下，前端发请求到 api.example.com，但登录态在 www.example.com 建立，Session 就会丢失 —— 根本原因是 Cookie 没被携带过去。

确认前端请求设置了 credentials: 'include'（Fetch）或 withCredentials: true（Axios）
后端响应头必须包含：
```
Access-Control-Allow-Origin: https://www.example.com
```
（不能是 *，否则 credentials 不生效）
ThinkPHP 中需在中间件或全局配置里手动设置 Cookie domain：
```
cookie('PHPSESSID', '', ['domain' => '.example.com']);
```
如果用了自定义 Session 名（如 think_session），确保前后端一致，且 session_name('think_session') 在 session_start() 前调用