如何在 PHP 中配置多域名共用 Session_设置 session.cookie

session.cookie_domain必须在session_start()前设置，否则无效；domain值须为'.example.com'格式，且需配合Redis等中心化存储和JWT等跨域方案。

如何在 php 中配置多域名共用 session_设置 session.cookie_domain

session.cookie_domain 必须在 session_start() 前设置

这是最常踩的坑：只要 session_start() 执行过了，再调用 ini_set('session.cookie_domain', '.example.com') 或 session_set_cookie_params() 就完全无效。浏览器收到的 Cookie Domain 仍是当前完整域名（如 shop.example.com），其他子域根本收不到。

正确做法是确保所有 session 相关配置都在 session_start() 之前完成：

用 ini_set() 设置 session.cookie_domain、session.cookie_secure、session.cookie_httponly 等
或统一用 session_set_cookie_params() 传数组（PHP 7.3+ 推荐）
若使用 session_set_cookie_params()，必须带 'samesite' => 'Lax' 或 'None'，否则现代浏览器可能拒绝发送 Cookie
HTTPS 环境下，'secure' => true 是强制要求，否则 samesite=None 会被浏览器忽略

domain 参数必须带前导点号 .example.com

写成 example.com 或 www.example.com 都不行——前者被部分浏览器视为非法值而静默丢弃，后者只对 www 生效。唯一可靠写法是 '.example.com'（注意开头的点）。

这个点号不是可选格式，而是告诉浏览器“该 Cookie 对 example.com 及其所有子域（api.example.com、admin.example.com）均有效”。实测中，不加点号在 Chrome 120+ 和 Safari 17+ 上大概率失效。

示例代码（PHP 8.1+）：

session_set_cookie_params([
    'lifetime' => 0,
    'path' => '/',
    'domain' => '.example.com',
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Lax'
]);
session_start();

跨顶级域（a.com ↔ b.net）无法靠 cookie_domain 解决

浏览器同源策略是硬限制：.a.com 和 .b.net 完全无关，session.cookie_domain 再怎么设都无效。这时候继续折腾 Cookie 没意义，得换思路。

Ai Session Analysis

用于分析本地AI编程助手会话数据（如Claude Code、Codex、Kimi Code）。当用户请求分析编程会话时触发。

下载

可行路径只有两条：

前端透传 session_id：登录后跳转时把 sid=xxx 拼进 URL，目标站用 session_id($_GET['sid']) + session_start() 加载——但必须加 Referer 校验或一次性 token，否则极易被劫持
彻底放弃 Session 依赖 Cookie 的模式，改用 JWT：服务端签发含 user_id、exp 的 Token，前端存 localStorage，每次请求带 Authorization: Bearer xxx，后端验证签名并解析用户身份

JWT 方案虽然要重写鉴权逻辑，但规避了所有 Cookie 跨域限制，也更适合前后端分离和微服务架构。

Redis 存储 + 共享 domain 是完整方案的必要组合

只设对 session.cookie_domain 不够——Cookie 能传过去，不代表 Session 数据能读到。如果各子域 PHP 还默认用文件存 Session（session.save_handler = files），那 shop.example.com 写的 session 文件，api.example.com 根本找不到。

必须配合中心化存储：

启用 Redis：设 session.save_handler = redis，session.save_path = "tcp://127.0.0.1:6379"
所有子域共用同一套 Redis 连接参数，确保 session_id 一致时读到的是同一份数据
若用自定义 Session 处理器，注意 read() 方法返回的序列化字符串必须与当前 PHP 的 session.serialize_handler 兼容（默认 php）

最后提醒一句：即使所有配置都对，也要打开浏览器 DevTools → Application → Cookies，确认 Domain 列显示的是 .example.com，而不是空值或具体子域名——这是唯一可信的验证方式。