应修改php.ini中session.cookie_httponly=1和session.cookie_secure=1，并重启web服务器；代码中需在session_start()前用ini_set()或session_set_cookie_params()设置，反向代理时须校验x-forwarded-proto头并清除旧cookie。
如果您在搭建PHP网站时发现会话ID可能被JavaScript读取或通过HTTP明文传输，则极大概率是Session Cookie缺少HTTPOnly与Secure属性保护。以下是实施该安全配置的具体方法：
一、在php.ini中全局启用HTTPOnly与Secure
此方式最稳定，适用于所有PHP SAPI环境，且不会被运行时配置覆盖。需确保Web服务器重启后生效。
1、使用文本编辑器打开php.ini文件，定位到session相关配置段落。
2、将session.cookie_httponly参数值设为1，即写入：session.cookie_httponly = 1。
3、将session.cookie_secure参数值设为1，即写入：session.cookie_secure = 1。
4、确认session.use_only_cookies = 1已启用，禁用URL透传会话ID。
5、保存文件并重启Web服务器（如Apache或Nginx+PHP-FPM）使配置生效。
二、在代码中动态设置HTTPOnly与Secure
当无法修改php.ini（如共享主机环境）时，可在每个PHP脚本开头通过ini_set()强制设定，但必须在session_start()之前执行。
1、在调用session_start()前插入以下三行代码：
ini_set('session.cookie_httponly', '1');
ini_set('session.cookie_secure', '1');
ini_set('session.use_only_cookies', '1');
2、检查当前请求是否为HTTPS：若$_SERVER['HTTPS'] !== 'on'且未处于反向代理环境，需额外判断X-Forwarded-Proto头。
3、若使用反向代理，须在PHP中补充逻辑：if (!empty($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') { ini_set('session.cookie_secure', '1'); }。
三、使用session_set_cookie_params()函数配置
该函数提供更细粒度的Cookie控制，支持设置有效期、路径、域及SameSite等参数，且兼容性优于ini_set()在部分SAPI中的表现。
1、在session_start()调用前，执行：session_set_cookie_params(['httponly' => true, 'secure' => true, 'samesite' => 'Lax']);。
2、注意：PHP版本需≥7.3才能正确解析关联数组参数；低于7.3需使用传统参数顺序调用，例如：session_set_cookie_params(0, '/', '', true, true);。
3、确保该函数调用位于任何输出（含空白符、BOM）之前，否则将静默失败。
四、验证HTTPOnly与Secure是否生效
配置完成后必须人工验证浏览器实际发送的Set-Cookie响应头，避免因代理、缓存或配置顺序导致失效。
1、使用浏览器开发者工具打开Network面板，刷新页面并找到首个PHP响应。
2、点击该请求，在Response Headers中查找Set-Cookie字段。
3、确认其值包含HttpOnly与Secure标识，例如：PHPSESSID=abc123; path=/; HttpOnly; Secure; SameSite=Lax。
4、若未见Secure，请检查当前页面是否通过HTTPS访问，以及服务器是否正确传递了X-Forwarded-Proto头。
五、强制销毁残留非安全Cookie
旧会话Cookie若已存在且无Secure/HttpOnly属性，新配置不会自动覆盖，需主动清除以阻断劫持链路。
1、在启用新配置后的首次请求中，添加逻辑：setcookie('PHPSESSID', '', time() - 3600, '/', '', false, true);。
2、该语句向客户端发送一个过期的、仅含HttpOnly标记的空Cookie，覆盖原有不安全版本。
3、紧接着调用session_start()，此时PHP将生成并下发全新安全属性的会话Cookie。
4、对已登录用户，应在下次请求中配合session_regenerate_id(true)彻底废弃旧会话数据。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
