php会话过期需协同服务端gc_maxlifetime、客户端cookie_lifetime和应用层空闲检测三者：gc_maxlifetime设会话最大存活时间（秒），仅对新会话生效；cookie_lifetime须与之同步以保cookie有效；空闲超时需手动记录last_activity并校验，框架如thinkphp还需对齐底层配置。
PHP会话过期不是单靠一个参数就能控制的，必须同时协调服务端清理机制、客户端Cookie有效期和应用层空闲判断三方面。只改其中一项，很容易出现“设了1小时却5分钟就掉线”的情况。
同步设置服务端垃圾回收阈值
session.gc_maxlifetime 是最常被误解也最关键的参数——它不直接让会话“准时过期”，而是告诉PHP：超过这个时间没访问的会话数据，GC（垃圾回收）可以考虑删除。它的单位是秒，且只对新启动的会话生效。
- 在 php.ini 中修改：session.gc_maxlifetime = 3600（表示1小时），改完需重启 PHP-FPM 或 Apache/Nginx
- 代码中动态设置（推荐用于共享主机或环境受限场景）：
ini_set('session.gc_maxlifetime', 3600);
注意：必须在 session_start() 之前调用 - 若使用 Redis/Memcached 存储 session，该参数基本无效——实际过期由存储引擎自身的 TTL 决定，需另行配置
匹配客户端 Cookie 的生命周期
即使服务端允许会话存1小时，如果浏览器里的 session ID Cookie 早就失效了，用户照样无法续期。因此 session.cookie_lifetime 必须与 gc_maxlifetime 保持一致（或更长）。
- 设为 0：关闭浏览器即丢失 Cookie，会话立即中断（默认行为）
- 设为正整数（如 3600）：Cookie 带明确 Expires 时间戳，支持跨浏览器重启
- 代码中设置方式：
session_set_cookie_params(3600, '/', '', true, true);
同样需在 session_start() 前执行；最后两个 true 分别代表 secure 和 httponly，增强安全性
手动追踪用户空闲时间（精准控制）
gc_maxlifetime 和 cookie_lifetime 都是“最大容忍时长”，不能反映真实用户是否还在操作。要实现严格的“30分钟无操作自动登出”，必须自己记录并校验。
- 每次请求时更新时间戳：
$_SESSION['last_activity'] = time(); - 每次请求开头检查是否超时：
if (time() - ($_SESSION['last_activity'] ?? 0) > 1800) { session_destroy(); header('Location: login.php'); exit; } - 建议搭配前端倒计时提醒，避免用户正在填表时突然跳转
ThinkPHP 等框架需额外对齐配置
以 ThinkPHP 6 为例，仅改框架 config/session.php 中的 'expire' => 3600 是不够的。必须确保：
- PHP 底层 session.gc_maxlifetime ≥ 3600
- session.cookie_lifetime ≥ 3600
- 清空 runtime/session/ 目录（文件驱动下），否则旧会话仍按原 TTL 生效
- 若用 Redis 驱动，还要确认 Redis 的 key TTL 设置是否覆盖了框架配置
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
