必须用redis替代file驱动且共用同一实例，否则session必丢失；tp6.x需显式设session.driver为redis、host不能用localhost、必须装ext-redis扩展、prefix必填防冲突、序列化方式需统一为php、集群须通过cache驱动桥接配置。
必须用 Redis 替代 file 驱动，且所有服务器连接同一套 Redis 实例（或集群），否则 Session 一定丢失——这不是配置顺序问题，是存储层根本不可见。
ThinkPHP 6.x 的 session.type = redis 不生效？检查这三处硬性条件
很多项目改了 session.type 还是写本地文件，本质是没满足运行前提：
-
session.driver必须显式设为redis（TP 6.1+ 要求），仅改type不够 -
host不能是127.0.0.1或localhost：多服务器部署时，每台机器都会连自己本机，结果还是各自为政 - Redis 扩展必须是
ext-redis（不是 predis），且版本 ≥ 5.3；用php --ri redis看输出，若显示predis或无任何信息，说明扩展没装对
多个 ThinkPHP 应用共用 Redis 时 session 冲突？prefix 是必填项
不设 prefix 会导致不同项目生成的 key 全是 think:session:xxx，A 项目登录直接覆盖 B 项目的会话数据。现象是用户反复登出、购物车随机清空。
在 config/session.php 中必须加：
'prefix' => 'tp6_admin_v1_',
注意：
- 值末尾带下划线，避免和 session_id 拼接后混淆
- 不要用中文、特殊符号，只用字母、数字、下划线
- TP 5.x 和 6.x 默认序列化方式不同（
serialize()vsjson_encode()），混用会导致$_SESSION始终为空，此时需统一加'serialize' => 'php'
Redis 集群模式下 TP 6.x 怎么配？别碰 php.ini 的 rediscluster handler
TP 6.x 官方不支持原生 rediscluster handler，强行在 php.ini 改 session.save_handler = rediscluster 会导致 session_start() 失败或静默降级回 file。
正确做法是走缓存驱动桥接：
- 在
config/session.php设'type' => 'cache'且'store' => 'redis' - 在
config/cache.php的redis配置块中，把host改成数组：'host' => ['192.168.1.41', '192.168.1.42', '192.168.1.43'] - 必须加
'cluster' => 'redis'键，否则 TP 仍按单点连接，集群节点故障时无法自动切换 - 若集群启用了 ACL（如 Redis 6+），
password要写成'user:pass'格式，不是纯密码
Session ID 复用、登出不彻底？session_regenerate_id(true) 和 setcookie 缺一不可
登录后不换 ID，攻击者截获旧 PHPSESSID 就能持续冒用；登出只删 Redis key，浏览器 cookie 还带着旧 ID，下次请求又自动重建会话。
实操必须做两件事：
- 登录成功后立即调用
session()->regenerate()（TP 封装）或原生session_regenerate_id(true) - 登出时除调用
session_destroy()外，还得清除客户端 cookie：setcookie('PHPSESSID', '', time() - 3600, '/', '', false, true)
别依赖负载均衡的 sticky session 来“掩盖”问题——它只是让请求尽量不跳机，但无法解决 Session 存储本身是否共享这个根本矛盾。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
