session_name() 必须在 session_start() 之前调用；php 8.0 会严格检查并抛 e_warning，响应头发送后调用会失败，正确做法是将其置于脚本最顶部。
session_name() 必须在 session_start() 之前调用
PHP 8.0 对会话状态检查更严格，session_name() 在 session_start() 之后调用会直接失败（旧版可能静默忽略，新版抛 E_WARNING）。一旦响应头已发送（哪怕只是空格或 BOM），再调用就会报错。
常见错误现象：
- 浏览器 Cookie 名仍是
PHPSESSID，即使代码里写了session_name('myapp') - PHP 报 Warning：“Cannot change session name when session is active”
-
$_COOKIE['myapp']不存在，但$_COOKIE['PHPSESSID']有值
正确做法：
- 把
session_name('myapp')放在脚本最顶部，紧贴<?php后面 - 确保它出现在任何
echo、print、HTML 输出、甚至空白行之前 - 每个需要自定义名称的请求都得重新设置——PHP 每次请求都会重置为
php.ini中的session.name
会话名称不能全由数字组成
PHP 8.0 仍沿用该校验逻辑：名称必须含至少一个字母。若设成 session_name('12345')，session_start() 会悄悄生成全新 ID，导致每次请求都新建会话，$_SESSION 数据无法延续。
合法示例：
-
session_name('app2024')✅ -
session_name('SessID')✅ -
session_name('v2')✅
非法示例：
-
session_name('123')❌（触发新会话） -
session_name('999abc')✅（含字母，没问题）
验证方式：调用后立即 echo session_name();，输出应为你设定的值；同时检查浏览器开发者工具 → Application → Cookies，确认键名已变。
配合 cookie 属性才能真正生效
只改名称不够，若 Cookie 路径、域名或安全属性不匹配，浏览器可能不发、或发错 Cookie，服务端就收不到对应 ID。
关键配置建议（均需在 session_start() 前设置）：
-
ini_set('session.cookie_path', '/');—— 确保路径覆盖全站 -
ini_set('session.cookie_domain', '.example.com');—— 多子域共享时必需（注意开头的点） -
ini_set('session.cookie_httponly', 1);—— 防 XSS 读取 -
ini_set('session.cookie_secure', 1);—— 生产环境 HTTPS 下必须开启 -
ini_set('session.use_only_cookies', 1);—— 禁用 URL 传参，避免泄露
这些设置不会自动继承 php.ini，必须显式调用。漏掉 session.cookie_secure 或 session.use_only_cookies 时，即使名称对了，也可能因协议不匹配或 URL 回退导致会话中断。
php.ini 全局配置与运行时覆盖的关系
修改 php.ini 中的 session.name = myapp 是最彻底的方式，但需重启 Web 服务，且在共享主机上常不可行。而 session_name() 可在运行时覆盖 ini 设置——但仅对当前请求有效。
注意点：
- 如果
php.ini设了session.name = legacy，你代码中session_name('myapp')仍会成功，且返回'legacy' - 但若
session_name()返回false，大概率是已调用过session_start()或输出已发送 - 某些 SaaS 环境（如部分云函数）不支持修改
php.ini，此时函数方式是唯一选择
真正容易被忽略的是：每次 HTTP 请求都是独立生命周期，session_name() 不是“设一次永久生效”，而是“每请求必设”。漏掉某个入口脚本（比如 AJAX 接口页），那个请求就又退回到 PHPSESSID。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
